Федералы обращают внимание на уязвимости iOS, использованные при загадочных обстоятельствах

Coruna также известна тем, что ее используют три отдельные хакерские группы. Google впервые обнаружил его использование в феврале прошлого года в ходе операции, проведенной «клиентом поставщика систем видеонаблюдения». Эксплуатированная уязвимость, отслеживаемая как CVE-2025-23222, была исправлена 13 месяцев назад. В июле 2025 года «предполагаемая российская шпионская группа» использовала CVE-2023-43000 в атаках на веб-сайты, которые часто посещали украинские цели. В декабре прошлого года, когда им воспользовался «финансово мотивированный злоумышленник из Китая», Google смог получить полный набор эксплойтов.

«Как произошло такое распространение, неясно, но это предполагает активный рынок «бывших в употреблении» эксплойтов нулевого дня», — пишет Google. «Помимо этих выявленных эксплойтов, многие злоумышленники теперь овладели передовыми методами эксплуатации, которые можно повторно использовать и модифицировать с учетом вновь выявленных уязвимостей».

Исследователи Google продолжили писать:

Мы извлекли все запутанные эксплойты, включая завершающие полезные нагрузки. При дальнейшем анализе мы заметили случай, когда злоумышленник развернул отладочную версию набора эксплойтов, оставив открытыми все эксплойты, включая их внутренние кодовые имена. Именно тогда мы узнали, что набор эксплойтов, скорее всего, получил внутреннее название Coruna. В общей сложности мы собрали несколько сотен образцов, охватывающих в общей сложности пять полных цепочек эксплойтов iOS. Набор эксплойтов способен атаковать различные модели iPhone под управлением iOS версии 13.0 (выпущенной в сентябре 2019 г.) до версии 17.2.1 (выпущенной в декабре 2023 г.).

23 эксплойта вместе с кодовыми названиями и другой информацией:

CISA добавляет в свой каталог только три CVE. Они есть:

• CVE-2021-30952 Уязвимость нескольких продуктов Apple, связанная с переполнением или циклическим переполнением целых чисел
• CVE-2023-41974 Уязвимость Apple iOS и iPadOS, позволяющая использовать после освобождения
• CVE-2023-43000 Уязвимость нескольких продуктов Apple, требующая бесплатного использования

CISA предписывает агентствам «применять меры по снижению риска в соответствии с инструкциями поставщика, следовать применимым… рекомендациям для облачных сервисов или прекратить использование продукта, если меры по снижению риска недоступны». Далее агентство предупредило: «Такие типы уязвимостей являются частыми векторами атак для злоумышленников в киберпространстве и представляют значительный риск для федерального предприятия».