Coruna iOS 漏洞利用套件利用五条利用链中的 23 个漏洞，针对 iOS 13 至 17.2.1
Google 发现了名为 Coruna 的强大 iOS 漏洞利用套件，针对 iOS 13 至 17.2.1 版本。该套件包含 23 个漏洞和 5 条完整利用链，标志着间谍软件攻击正从高度定向转向大规模部署。 该工具在 2025 年间几经转手，从商业监控方流入俄罗斯间谍组织 UNC6353，最终被中国犯罪团伙 UNC6691 利用，通过虚假金融网站窃取加密货币。Corona 利用 JavaScript 框架进行设备指纹识别，但会避开开启“锁定模式”的设备。此案例揭示了高级监控工具如何从商业供应商扩散至国家级黑客，最终流入犯罪分子手中的过程。
Google 表示，其发现了一个名为 Coruna（又名 CryptoWaters）的“新型且强大”的漏洞利用套件，目标是运行 iOS 13.0 至 17.2.1 版本的 Apple iPhone 机型。
Google 威胁情报小组 (GTIG) 表示，该漏洞利用套件包含五条完整的 iOS 利用链，共计 23 个漏洞利用程序。该套件对最新版本的 iOS 无效。这一发现由《连线》(WIRED) 杂志率先报道。
GTIG 指出：“该漏洞利用套件的核心技术价值在于其汇集了全面的 iOS 漏洞利用程序，其中最先进的程序采用了非公开的利用技术和缓解机制绕过手段。该套件的框架工程化程度极高；各漏洞利用组件衔接自然，并通过通用的实用工具和利用框架组合在一起。”
据称，自 2025 年 2 月以来，该套件已在多个威胁行为者之间流传，从商业监控方转入政府支持的攻击者手中，最终于 12 月落入一个位于中国的出于经济动机的威胁行为者之手。
目前尚不清楚该漏洞利用套件是如何易手的，但这些发现表明二手零日漏洞利用市场十分活跃，使得其他威胁行为者能够为了自身目的对其进行再利用。在一份相关报告中，iVerify 表示，该漏洞利用套件与此前由隶属美国政府的威胁行为者开发的框架有相似之处。
iVerify 表示：“Coruna 是我们观察到的最典型案例之一，展示了复杂的间谍软件级能力如何从商业监控供应商扩散到国家级行为者手中，最终落入大规模犯罪运营者之手。”
该移动安全供应商表示，使用这种复杂的漏洞利用框架标志着首次观察到针对 iOS 设备的大规模利用，表明间谍软件攻击正从高度定向转向广泛部署。
Google 表示，其于去年年初首次捕获了一家未具名监控公司的客户所使用的 iOS 漏洞利用链的部分内容，这些漏洞利用程序被集成到一个前所未见的 JavaScript 框架中。该框架旨在对设备进行指纹识别，以确定其是否为真实设备并收集详细信息，包括具体的 iPhone 机型及其运行的 iOS 软件版本。
该框架随后根据指纹数据加载相应的 WebKit 远程代码执行 (RCE) 漏洞利用程序，进而执行指针认证代码 (PAC) 绕过。相关的漏洞利用涉及 CVE-2024-23222，这是 WebKit 中的一个类型混淆漏洞，Apple 已于 2024 年 1 月发布 iOS 17.3、iPadOS 17.3、iOS 16.7.5 和 iPadOS 16.7.5 对其进行了修复。
时间来到 2025 年 7 月，同一个 JavaScript 框架在域名 “cdn.uacounter[.]com” 上被检测到，该域名作为隐藏的 iFrame 加载在被入侵的乌克兰网站上。这些网站涉及工业设备、零售工具、本地服务和电子商务。据评估，一个名为 UNC6353 的疑似俄罗斯间谍组织是此次活动的幕后黑手。
这一活动的有趣之处在于，该框架仅分发给来自特定地理位置的特定 iPhone 用户。作为该框架一部分部署的漏洞利用程序包括 CVE-2024-23222、CVE-2022-48503 和 CVE-2023-43000，其中最后一个是 WebKit 中的释放后重用 (use-after-free) 漏洞。
值得注意的是，Apple 已在 2023 年 7 月发布的 iOS 16.6 和 iPadOS 16.6 中修复了 CVE-2023-43000。然而，安全发布说明直到 2025 年 11 月 11 日才更新并加入了该漏洞的条目。
该 JavaScript 框架第三次在野被发现是在 2025 年 12 月。一组虚假的中国网站被发现会投递该 iOS 漏洞利用套件，这些网站大多数与金融相关，它们会指示用户使用 iPhone 或 iPad 访问以获得更好的用户体验。该活动被归因于一个被追踪为 UNC6691 的威胁集群。
一旦通过 iOS 设备访问这些网站，就会注入一个隐藏的 iFrame 来投递包含 CVE-2024-23222 的 Coruna 漏洞利用套件。在这种情况下，漏洞利用的分发不受任何地理位置条件的限制。
对威胁行为者基础设施的进一步分析发现了该漏洞利用套件的调试版本，以及涵盖五条完整 iOS 利用链的各种样本。目前已识别出横跨 iOS 13 到 iOS 17.2.1 版本的总共 23 个漏洞利用程序。
该套件利用的部分 CVE 及其对应的目标 iOS 版本如下所列：
* Neutron - CVE-2020-27932 (版本 13.x)
* Dynamo - CVE-2020-27950 (版本 13.x)
* buffout - CVE-2021-30952 (版本 13 → 15.1.1)
* jacurutu - CVE-2022-48503 (版本 15.2 → 15.5)
* IronLoader - CVE-2023-32409 (版本 16.0 → 16.3.1 和 16.4.0)
* Photon - CVE-2023-32434 (版本 14.5 → 15.7.6)
* Gallium - CVE-2023-38606 (版本 14.x)
* Parallax - CVE-2023-41974 (版本 16.4 → 16.7)
* terrorbird - CVE-2023-43000 (版本 16.2 → 16.5.1)
* cassowary - CVE-2024-23222 (版本 16.6 → 17.2.1)
* Sparrow - CVE-2024-23225 (版本 17.0 → 17.3)
* Rocket - CVE-2024-23296 (版本 17.1 → 17.4)
Google 表示：“Photon 和 Gallium 利用的漏洞此前也曾作为‘三角测量行动’ (Operation Triangulation) 的一部分被用作零日漏洞。Coruna 漏洞利用套件还嵌入了可重用模块，以简化上述漏洞的利用过程。”
2023 年 6 月，俄罗斯政府声称该活动是美国国家安全局 (NSA) 所为，指责其入侵了属于国内用户和外交官的“数千台”Apple 设备，将其作为“侦察行动”的一部分。
据观察，UNC6691 利用该漏洞投递了一个代号为 PlasmaLoader（又名 PLASMAGRID）的加载器二进制文件，该文件旨在解码图像中的二维码，并运行从外部服务器检索到的附加模块，从而能够从 Base、Bitget Wallet、Exodus 和 MetaMask 等各种应用程序中窃取加密货币钱包或敏感信息。
GTIG 补充道：“该植入程序包含一份硬编码的 C2 列表，但也具有备用机制，以防服务器无响应。该植入程序嵌入了一个自定义域名生成算法 (DGA)，使用字符串 ‘lazarus’ 作为种子来生成可预测的域名列表。这些域名将有 15 个字符，并使用 .xyz 作为顶级域名 (TLD)。攻击者使用 Google 的公共 DNS 解析器来验证这些域名是否处于活动状态。”
Coruna 的一个显著特点是，如果设备处于锁定模式，或者用户处于无痕浏览模式，它会跳过执行。为了应对这一威胁，建议 iPhone 用户保持设备更新，并启用锁定模式以增强安全性。
关于作者
评论1次
### 结论 Coruna漏洞利用套件通过多阶段模块化设计覆盖iOS 13-17.2.1全版本，核心攻击链依赖WebKit组件的RCE漏洞（如CVE-2024-23222）和内核提权，利用PAC绕过技术突破现代缓解机制。威胁行为者通过地理定向或无限制的网站注入iFrame执行指纹识别后，动态匹配漏洞链实现攻击，最终投递PlasmaLoader窃取加密资产。攻击具备高度工程化特征，攻击面覆盖浏览器、内核及用户交互层，需从漏洞利用链源头和Sink点双向防御。 --- ### 分析路径 #### **L1 攻击面识别** 1. **入口点**： - **Web层**：恶意iFrame注入（如cdn.uacounter[.]com及虚假金融网站），通过JavaScript框架进行设备指纹识别。 - **sink点**：WebKit组件（如JavaScriptCore/Nitro引擎）的类型混淆、UAF等漏洞（CVE-2024-23222、CVE-2023-43000等）。 2. **横向移动**： - **内核漏洞**：推测利用内核提权漏洞（如CVE-2023-32409）突破沙箱，获取xi统权限。 3. **持久化与C2**： - **自定义DGA**：基于“lazarus”种子生成15位.xyz域名，规避静态黑名单检测。 #### **L2 假设与验证** - **漏洞利用链验证**： - 针对CVE-2024-23222（类型混淆）：需验证是否存在对象释放后越界读写，触发JS上下文内存破坏。 - 对于CVE-2023-32409（内核提权）：需逆向分析内核模块（如IOMobileFramebuffer）的越界写入或信息泄露点。 - **指纹识别逻辑**： - 模拟iOS 13-17.2.1设备UA与xi统特征，观察框架是否动态加载对应CVE的利用模块（如对16.x设备加载CVE-2023-38606）。 #### **L3 边界/异常场景** - **绕过锁定模式**： - 若设备处于锁定状态，利用链会跳过执行，需验证是否检测了屏幕状态或用户交互标志（如`accessibility` API）。 - **沙箱隔离突破**： - 分析内核漏洞是否破坏Mach port或IPC机制，实现沙箱逃逸。 - **DGA对抗**： - 分析生成域名的熵值及规律（如固定种子+时间函数），构建特征规则拦截流量。 #### **L4 防御反推与修复** - **漏洞缓解**： - 针对WebKit漏洞：强制更新至iOS 17.3以上版本（修复CVE-2024-23222）或启用锁定模式（Block all JavaScript）。 - 对内核漏洞：检查xi统内核符号（如`AppleMobileFrameBuffer`）是否存在已知提权路径，限制敏感接口访问权限。 - **C2通信阻断**： - 将DGA规则（种子“lazarus”+15位.xyz域名）加入网络防火墙黑名单，监控流量中的Google DNS解析请求。 - **行为检测**： - 监控进程异常行为（如`mobilesubstrate`、`dyld`加载非签名模块），或检测隐藏iFrame的DOM结构。 --- ### 验证步骤 1. **样本逆向**： - 反编译JavaScript框架，提取指纹逻辑代码（如`navigator.userAgent`、`device.model`字段关联的CVE列表）。 2. **漏洞复现环境**： - 在iOS 15.5虚拟机（搭载CVE-2022-48503未修复版本）中注入恶意iFrame，触发JS崩溃并捕获核心转储（`log collect`）。 3. **网络流量捕获**： - 使用Wireshark过滤`http.host == "cdn.uacounter[.]com"`，分析iFrame加载的二进制利用模块特征（如魔术数、PAC绕过代码段）。 4. **DGA模拟**： - 编写脚本模拟DGA生成域名（Python伪代码：`seed = 'lazarus'; random.seed(seed); domain = ''.join([random.choice(string.ascii_lowercase) for _ in range(15)]) + '.xyz'`），验证是否与C2基础设施匹配。 --- ### 修复建议 1. **用户端**： - 强制更新至iOS 17.3+，启用“锁定模式”（Settings→Focus→Lockdown Mode）。 2. **企业防护**： - 部署移动威胁防御（MTD）xi统，阻断未签名的JavaScript框架和可疑DGA域名。 3. **网络层**： - 在出口网关上使用Cloudflare或Palo Alto的恶意域名检测，拦截`.xyz`后缀的高频DNS查询。 4. **应急响应**： - 检查设备日志中是否存在异常进程（如`com.apple.webcontent`fork子进程加载未知二进制），用`strings`扫描内存镜像中的C2种子字符串。 --- **注**：若需逆向具体漏洞（如CVE-2024-23222），需获取利用样本后通过IDA Pro分析ROP链，重点验证PAC验证绕过逻辑（如伪造指针认证值）。