Nowy atak na iPhone’y

Eksperci ds. bezpieczeństwa z Google wykryli nowe narzędzie hakerskie, które atakuje użytkowników iPhone’ów i próbuje kraść dane związane z kryptowalutami. Zestaw exploitów nazwany Coruna wykorzystywany jest głównie w kampaniach phishingowych, czyli oszustwach polegających na podszywaniu się pod prawdziwe strony internetowe.

Narzędzie działa na iPhone’ach z systemem iOS w wersjach od 13.0 do 17.2.1. Według raportu Google zawiera pięć pełnych łańcuchów exploitów oraz 23 różne luki bezpieczeństwa. Część z nich wcześniej nie była publicznie znana.

Badacze po raz pierwszy natrafili na Corunę w lutym 2025 roku. Początkowo była używana w atakach wymierzonych w użytkowników z Ukrainy. Później podobne mechanizmy pojawiły się także na fałszywych stronach internetowych związanych z finansami i kryptowalutami.

Atak działa w prosty sposób. Ofiara trafia na spreparowaną stronę, która wygląda jak prawdziwy serwis kryptowalutowy. Jeśli odwiedzi ją z iPhone’a, specjalny skrypt sprawdza model urządzenia i wersję systemu, a następnie uruchamia odpowiedni exploit.

Po przejęciu kontroli nad częścią systemu narzędzie zaczyna szukać informacji finansowych. Może analizować wiadomości tekstowe w poszukiwaniu fraz takich jak seed phrase lub backup phrase. Są to słowa kluczowe używane do odzyskiwania portfeli kryptowalutowych. Exploit sprawdza również, czy na telefonie zainstalowane są popularne aplikacje kryptowalutowe, na przykład Uniswap lub MetaMask.

Google podkreśla, że Coruna nie działa na najnowszej wersji systemu iOS. Dlatego firma zaleca użytkownikom iPhone’ów aktualizację oprogramowania. Jeśli ktoś nie może zaktualizować telefonu, Apple rekomenduje włączenie trybu Lockdown Mode, który ogranicza działanie niektórych funkcji i utrudnia przeprowadzenie zaawansowanych ataków.

Nie jest też jasne, kto stworzył to narzędzie. Firma iVerify uważa, że tak zaawansowane oprogramowanie mogło kosztować miliony dolarów i może mieć związek z narzędziami używanymi przez rząd USA. Z kolei badacz z firmy Kaspersky twierdzi, że obecne raporty nie pokazują dowodów pozwalających potwierdzić takie powiązania.