Coruna iOS Kit: Πώς σχετίζεται με το Operation Triangulation του 2023;

Το exploit Kit Coruna αποτελεί μια εξέλιξη του κώδικα που χρησιμοποιήθηκε στην επιχείρηση Operation Triangulation το 2023, σύμφωνα με νέα ευρήματα της Kaspersky. Το exploit kit, που στοχεύει συσκευές iPhone που τρέχουν εκδόσεις iOS 13.0 έως 17.2.1, έχει μετεξελιχθεί από εργαλείο κατασκοπείας σε πλατφόρμα μαζικής εκμετάλλευσης που χρησιμοποιείται από cybercriminals για οικονομικά κέρδη.

Ο Boris Larin, κύριος ερευνητής ασφάλειας της Kaspersky GReAT, επεσήμανε ότι αρχικά δεν υπήρχαν επαρκή στοιχεία για να συνδεθεί το Cοruna με την Operation Triangulation. Ωστόσο, η λεπτομερής ανάλυση αποκάλυψε ότι τα kernel exploits και των δύο καμπανιών δημιουργήθηκαν από τον ίδιο συγγραφέα, με το Cοruna να αποτελεί εξέλιξη του αρχικού framework.

Δείτε επίσης: Apple: Οι νέες ενημερώσεις iOS και iPadOS αντιμετωπίζουν το exploit Cοruna

Το Coruna iOS Kit περιέχει πέντε πλήρεις αλυσίδες exploits και συνολικά 23 exploits, συμπεριλαμβανομένων των CVE-2023-32434 και CVE-2023-38606. Αυτές οι ευπάθειες χρησιμοποιήθηκαν αρχικά ως zero-days στην Operation Triangulation, μια εξελιγμένη καμπάνια που στόχευε συσκευές iOS/

Τεχνικές Λεπτομέρειες του Coruna iOS Kit

Η ανάλυση της Kaspersky αποκάλυψε ότι το Cοruna υποστηρίζει τους νεότερους επεξεργαστές της Apple, συμπεριλαμβανομένων των A17, M3, M3 Pro και M3 Max. Επιπλέον, περιλαμβάνει ελέγχους για το iOS 17.2 και την beta έκδοση iOS 16.5 beta 4, η οποία διόρθωσε τις τέσσερις ευπάθειες που εκμεταλλεύτηκε η Operation Triangulation.

Η επίθεση ξεκινά όταν ένας χρήστης επισκέπτεται έναν παραβιασμένο ιστότοπο μέσω Safari. Ένας stager αναγνωρίζει τον browser και παρέχει το κατάλληλο exploit βάσει της έκδοσης του browser και του λειτουργικού συστήματος. Στη συνέχεια, εκτελείται ένα payload που ενεργοποιεί το kernel exploit και επιτρέπει την εγκατάσταση του τελικού implant.

Δείτε επίσης: Kaspersky: Εξαλείφει την απειλή «Operation Triangulation»

Το framework χρησιμοποιεί εξελιγμένες τεχνικές για παράκαμψη των μηχανισμών προστασίας μνήμης και kernel-mode PAC evasion για αποφυγή των hardware-level προστασιών των chip της Apple.

Εξάπλωση και Χρήση από Threat Actors

Αρχικά, το Coruna χρησιμοποιήθηκε από έναν πελάτη μιας ανώνυμης εταιρείας παρακολούθησης. Ωστόσο, έχει πλέον υιοθετηθεί από διάφορους threat actors, συμπεριλαμβανομένης μιας ρωσικής κρατικής hacking ομάδας (που το χρησιμοποίησε σε watering hole επιθέσεις στην Ουκρανία) και της κινεζικής UNC6691 (που το αξιοποίησε σε μαζικές καμπάνιες εκμετάλλευσης).

Η Google Threat Intelligence Group και η iVerify τεκμηρίωσαν πρώτες το Coruna νωρίτερα αυτόν τον μήνα, αποκαλύπτοντας ότι στοχεύει μοντέλα iPhone που τρέχουν εκδόσεις iOS μεταξύ 13.0 και 17.2.1. Το kit περιλαμβάνει επιπλέον ευπάθειες όπως τα CVE-2024-23225, CVE-2024-23296, CVE-2024-23222 και CVE-2022-48503, που προστέθηκαν στη λίστα CISA Known Exploited Vulnerabilities.

Αντίκτυπος και Μέτρα Προστασίας

Σύμφωνα με τα στοιχεία, το Coruna έχει παραβιάσει χιλιάδες συσκευές iPhone σε μαζικές επιθέσεις. Οι ειδικοί προειδοποίησαν ότι το framework, που αρχικά αναπτύχθηκε για σκοπούς cyber-espionage, χρησιμοποιείται πλέον από cybercriminals διαφόρων κατηγοριών, θέτοντας σε κίνδυνο εκατομμύρια χρήστες με μη ενημερωμένες συσκευές.

Δείτε επίσης: Apple: Παλιά iPhone ευάλωτα σε Coruna και DarkSword exploits

Για την προστασία από το Coruna iOS Kit, οι ειδικοί συνιστούν την άμεση ενημέρωση σε τις πιο πρόσφατες εκδόσεις iOS. Επιπλέον, η ενεργοποίηση του Lockdown Mode μπορεί να αποκλείσει την παράδοση του kit, ενώ οι χρήστες πρέπει να αποφεύγουν μη αξιόπιστους ιστοτόπους.

Η εξέλιξη αυτή συμπίπτει με τη διαρροή νέας έκδοσης του iPhone exploit kit DarkSword στο GitHub, γεγονός που εγείρει ανησυχίες για περισσότερες επιθέσεις. Λόγω του modular σχεδιασμού και της ευκολίας επαναχρησιμοποίησης, αναμένεται άλλοι threat actors θα αρχίσουν να ενσωματώνουν το framework στις επιθέσεις τους, σύμφωνα με The Hacker News.