«Корона» (англ. Coruna) — сложный набор эксплойтов для iOS, публично представленный 3 марта 2026 года. Этот набор, получивший от разработчиков внутреннее название «Coruna», содержит пять полных цепочек эксплойтов и 23 отдельных эксплойта, нацеленных на модели Apple iPhone под управлением iOS версий от 13.0 до 17.2.1. Это первый задокументированный случай распространения фреймворка эксплойтов для iOS государственного уровня от коммерческого поставщика средств слежки в руки киберпреступников.
В 2025 году исследователи Google и iVerify обнаружили «Корону» как минимум в трёх различных кампаниях: сначала у неназванного клиента компании, занимающейся слежкой, затем в приписываемых UNC6353 атаках типа «watering hole» (атака «у водопоя») на украинские цели и в широкомасштабных операциях по краже криптовалюты, проводимых UNC6691.
Группа глобальных исследований и анализа «Лаборатории Касперского» (GReAT) подтвердила, что два эксплойта в комплекте (внутренние кодовые названия Photon и Gallium) нацелены на те же уязвимости, которые использовались в качестве уязвимостей нулевого дня в операции «Триангуляция», кампании, обнаруженной в 2023 году и нацеленной на iPhone в России. iVerify, независимо отслеживавшая этот набор инструментов под названием CryptoWaters, указала, что Coruna структурное схожа с фреймворками, ранее приписываемыми злоумышленникам, связанным с правительством США.
Набор эксплойтов неэффективен против последних версий iOS. Также Apple выпустила предупреждения о безопасности и перенесла исправления для более старых версий iOS. Агентство кибербезопасности и защиты инфраструктуры США (CISA) добавило 5 марта 2026 года три уязвимости, связанные с Coruna, в каталог известных эксплуатируемых уязвимостей.
История обнаружения и раскрытия информации До «Короны» наиболее ярким примером распространения наступательных кибер-инструментов был EternalBlue, эксплойт для Microsoft Windows, предположительно разработанный Агентством национальной безопасности США. Он был слит группой Shadow Brokers в 2017 году, а затем использован в атаках программ-вымогателей WannaCry и NotPetya. iVerify провела параллели между этими двумя случаями.
Операция «Триангуляция», обнаруженная «Лабораторией Касперского» в 2023 году, представляла отдельную кампанию по распространению APT-атак. В рамках кампании использовали эксплойты против iPhone через iMessage. Исследователи «Лаборатории Касперского» представили свои выводы на конференции Chaos Communication 37. Российское правительство тогда заявило, что кампания проводилась американской разведкой, однако американские официальные лица не подтвердили и не опровергли это утверждение.
В феврале 2025 года Google TIG обнаружила части цепочки эксплойтов для iOS, используемых клиентом неназванной коммерческой компании, занимающейся слежкой. Эксплойты были внедрены в ранее неизвестный JavaScript-фреймворк, который использовал особые методы обфускации. Фреймворк начинался с идентификации целевого устройства для определения модели iPhone и версии iOS, после чего предоставлял соответствующий эксплойт удаленного выполнения кода WebKit, за которым следовал обход кода аутентификации указателя (Pointer Authentication Code, PAC). На этом этапе GTIG обнаружила уязвимость удаленного выполнения кода WebKit, нацеленную на iOS 17.2, которая была идентифицирована как CVE-2024-23222 — уязвимость, связанная с путаницей типов, которую Apple исправила в январе 2024 года в iOS 17.3.
В середине 2025 года GTIG обнаружила тот же фреймворк JavaScript, который загружался в виде скрытого iframe на взломанных украинских сайтах секторов промышленного оборудования, розничной торговли, местных услуг и электронной коммерции. Фреймворк доставлялся только выбранным пользователям iPhone из определенного географического региона. GTIG собрала дополнительные эксплойты WebKit RCE (CVE-2022-48503 и CVE-2023-43000) до того, как сервер был отключен. Эта активность была приписана UNC6353. GTIG координировала свои действия с CERT-UA для устранения последствий взлома сайтов.
К концу 2025 года GTIG обнаружила JavaScript-фреймворк, развернутый в крупной сети мошеннических китайских веб-сайтов, в основном связанных с финансами и криптовалютами. Среди них были поддельные версии криптовалютных бирж, таких как WEEX, которые отображали всплывающие окна, призывающие посетителей зайти на сайты с iPhone или iPad. При посещении с устройства iOS скрытый iframe внедрял эксплойт-комплект Coruna независимо от географического местоположения посетителя.
Эта кампания была приписана UNC6691. Ошибка злоумышленников (развертывание отладочной версии эксплойт-комплекта с необфусцированным кодом) позволила исследователям восстановить полный набор эксплойтов вместе с их внутренними кодовыми именами и подтвердить внутреннее имя «Coruna». iVerify независимо обнаружила ту же кампанию и отслеживала ее под обозначением CryptoWaters.
GTIG и iVerify одновременно опубликовали выводы 3 марта 2026 года. Первые сообщения об этом появились в Wired. 5 марта 2026 года CISA добавила CVE-2021-30952, CVE-2023-41974 и CVE-2023-43000 в свой каталог известных эксплуатируемых уязвимостей, установив крайний срок устранения уязвимостей для федеральных агентств — 26 марта 2026 года. Kaspersky GReAT опубликовала дополнительный анализ 26 марта 2026 года, подтвердив, что эксплойт ядра, нацеленный на CVE-2023-32434 и CVE-2023-38606, является обновленной версией эксплойта, использованного в операции «Триангуляция».
Техническое описание
Архитектура и реализация «Корона» поставляется в виде самодостаточного HTML-файла, обычно называемого group.html или analytics.html, встроенного в веб-страницу в виде скрытого iframe нулевого размера. Эксплойт работает полностью в браузере с помощью JavaScript и не требует взаимодействия с пользователем, кроме загрузки страницы. Фреймворк сначала выполняет идентификацию устройства, чтобы определить модель iPhone целевого устройства и версию iOS. Он прерывает выполнение, если устройство находится в режиме блокировки или пользователь использует приватный просмотр.
После снятия цифрового отпечатка фреймворк выбирает и доставляет соответствующий эксплойт WebKit RCE, за которым следует обход PAC. Для генерации URL ресурсов используется уникальный жестко закодированный cookie. Бинарные полезные нагрузки (код, доставляемый при атаке) после эксплойта предоставляются с URL-адресов, заканчивающихся на .min.js, в зашифрованном и сжатом виде.
Инвентарь эксплойтов Набор содержит 23 эксплойта, организованных в пять полных цепочек, охватывающих iOS 13.0–17.2.1. Они разделены на несколько категорий: эксплойты WebKit RCE (кодовые названия Buffout, Jacurutu, Bluebird, Terrorbird и Cassowary), обходы PAC (варианты Breezy и Seedbell), выходы из песочницы WebContent (IronLoader и NeuronLoader), эксплойты повышения привилегий ядра (Neutron, Pendulum, Photon, Parallax и Gruber) и обходы PPL (Quark, Gallium, Carbone, Sparrow и Rocket). Эксплойты включают обширную документацию с комментариями, написанными на английском языке.
Эксплойты Photon и Gallium (использующие CVE-2023-32434 и CVE-2023-38606) нацелены на те же уязвимости, что и уязвимости нулевого дня в операции «Триангуляция». Анализ Kaspersky показал, что эксплойт ядра Coruna для этих уязвимостей является обновленной версией того же эксплойта, который использовался в предыдущей кампании, с добавленной поддержкой более новых процессоров Apple (серии A17, M3) и проверками для iOS 17.2. Комплект также включает многоразовые модули для обхода мер защиты, предотвращающих выделение страниц памяти для чтения-записи-выполнения.
Вредоносная полезная нагрузка В китайской кампании в качестве конечной полезной нагрузки использовался бинарный файл-загрузчик под названием PlasmaLoader, отслеживаемый GTIG как PLASMAGRID, который использует идентификатор com.apple.assistd. Загрузчик внедряется в powerd, демон, работающий с правами root в iOS. Полезная нагрузка ориентирована на финансовые кражи: она может декодировать QR-коды с изображений устройств, сканировать Apple Memos на наличие сид-фраз BIP-39 и ключевых слов, таких как «резервная фраза» или «банковский счёт», а также развертывать дополнительные модули, нацеленные на приложения криптовалютных кошельков.
В число целевых приложений-кошельков входили MetaMask, Phantom, Exodus и более десятка других. Каждый модуль функционировал за счет размещения механизмов перехвата вызовов функций внутри целевого приложения для извлечения учетных данных кошелька и сид-фраз. Модули содержали строки логирования, написанные на китайском языке, некоторые из которых, судя по стилю и использованию эмодзи, были сгенерированы большой языковой моделью.
Сетевая связь осуществлялась по протоколу HTTPS с данными, зашифрованными с помощью AES. Использовались жестко закодированные домены управления и контроля с алгоритмом генерации резервных доменов, использующим начальную строку "lazarus" для создания предсказуемых 15-символьных доменов с доменом верхнего уровня .xyz. iVerify также обнаружил модули, нацеленные на iMessage и WhatsApp, которые отсутствовали в проанализированных Google образцах.
Атрибуция и происхождение Происхождение «Короны» и механизм перехода между различными субъектами угроз неизвестны. GTIG представила распространение как свидетельство активного вторичного рынка инструментов для эксплуатации уязвимостей, не приписывая создание набора конкретной организации. Соучредитель iVerify Роки Коул подчеркнул структурное сходство эксплойт-кита с фреймворками, ранее разработанными злоумышленниками, связанными с правительством США. «Лаборатория Касперского» подтвердила, что эксплойт ядра Coruna представляет собой обновленную версию кода, использованного в операции «Триангуляция».
В СМИ появились предположения, связывающие «Корону» с делом Питера Уильямса, бывшего генерального директора Trenchant, подразделения L3Harris, разрабатывающего эксплойты нулевого дня для правительства США и союзников по «Пяти глазам». В феврале 2026 года Уильямс был приговорен к 87 месяцам федерального тюремного заключения за кражу восьми компонентов эксплойта у Trenchant в период с 2022 по 2025 год и их продажу российскому брокеру эксплойтов Operation Zero за 1,3 миллиона долларов в криптовалюте. Министерство финансов США подтвердило, что Operation Zero впоследствии продала украденные инструменты как минимум одному неавторизованному пользователю. Характер конкретных эксплойтов, проданных Уильямсом, публично не разглашается.
Влияние По оценкам iVerify, в ходе одной только китайской волны киберпреступлений было взломано не менее 42 000 iPhone, что делает это первой известной кампанией массового взлома устройств iOS.
Действия Apple Apple выпустила документ поддержки, в котором настоятельно рекомендовала пользователям более старых версий iOS обновиться, отметив, что полностью обновленные устройства не затронуты атакой. 11 марта 2026 года компания перенесла исправления для уязвимостей, связанных с «Короной», в iOS 15.8.7, iOS 16.7.15 и соответствующие версии iPadOS, расширив защиту на устройства, которые не могли работать под управлением iOS 17 или более поздних версий. Для устройств, всё ещё работающих на iOS 13 или 14, Apple рекомендовала обновиться до iOS 15 и пообещала, что за этим последует критическое обновление безопасности. Apple также отметила, что режим блокировки и функция безопасного просмотра Safari обеспечивают дополнительную защиту.
Связь с DarkSword Через несколько недель после публикации информации о «Короне», iVerify сообщила о втором наборе эксплойтов под названием DarkSword, нацеленном на более новые версии iOS (18.4–18.7) и также используемом в атаках типа «watering hole» против украинских целей UNC6353. DarkSword использовал несколько уязвимостей нулевого дня и, по-видимому, имел общее происхождение с инфраструктурой эксплойтов Coruna. В рекомендациях Apple по безопасности были упомянуты оба набора.
Значение