«Лаборатория Касперского»: как минимум один компонент Coruna использовался в «Операции Триангуляция»

Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) провели технический анализ кода Coruna — сложного инструмента для кибершпионажа, нацеленного на iPhone. Исследователи установили, что он по крайней мере частично использовался в сложной кибератаке «Операция Триангуляция», с которой «Лаборатория Касперского» столкнулась в 2023 году. Это означает, что инструмент, который раньше применялся в целевых кампаниях, получил более широкое распространение и является угрозой для миллионов iOS-устройств в разных странах.

В частности, в Coruna обнаружена обновлённая версия эксплойта, который использовался в «Операции Триангуляция». Злоумышленники добавили в него проверки для новых процессоров Apple: A17, M3, M3 Pro и M3 Max, а также для iOS 17.2 — все они были выпущены осенью и зимой 2023 года. Также модифицированный эксплойт включает в себя специфическую проверку для iOS 16.5 beta 4 — это версия, выпущенная для исправления уязвимостей, о которых «Лаборатория Касперского» сообщала Apple.

В ходе анализа исследователи нашли ещё четыре эксплойта уровня ядра, основанные на одном механизме эксплуатации и отсутствовавшие в «Операции Триангуляция». Два из них были разработаны уже после обнаружения этой кампании. Сходства в коде прослеживаются не только в эксплойтах, но и в других компонентах Coruna. Такие находки позволяют сделать вывод, что этот набор эксплойтов был не составлен из разрозненных частей, а спроектирован единым образом.

«Когда появились первые сообщения о Coruna, нельзя было однозначно подтвердить связь этой кампании с „Операцией Триангуляция“ — само по себе использование одних и тех же уязвимостей не может быть доказательством. Однако наш технический анализ показал, что Coruna — это не разрозненная компиляция фрагментов, а результат эволюции оригинального фреймворка, используемого в „Операции Триангуляция“. Глобальный ландшафт угроз продолжает усложняться на наших глазах: инструмент, созданный для кибершпионажа, теперь может использоваться гораздо шире, что ставит под угрозу устройства миллионов пользователей по всему миру», — комментирует Борис Ларин, ведущий исследователь Kaspersky GReAT.