Theo Đội Nghiên cứu và phân tích toàn cầu (GReAT) của Kaspersky, Coruna là bộ mã khai thác nhắm trực tiếp vào các lỗ hổng trong nhân hệ điều hành (kernel) của iOS. Các lỗ hổng này cho phép kẻ tấn công chiếm quyền kiểm soát sâu bên trong hệ thống, từ đó thực hiện các hành vi như theo dõi, đánh cắp dữ liệu hoặc cài đặt phần mềm độc hại mà người dùng khó phát hiện.
Đáng chú ý, Coruna có thể hoạt động trên nhiều dòng chip mới của Apple như A17, M3, M3 Pro và M3 Max, cũng như các phiên bản iOS đến 17.2. Điều này cho thấy phạm vi ảnh hưởng không chỉ giới hạn ở thiết bị cũ mà còn bao gồm cả các thiết bị mới ra mắt.
Ngoài ra, mã khai thác còn tích hợp cơ chế nhận diện các phiên bản iOS cụ thể, bao gồm iOS 16.5 beta 4 - bản cập nhật từng được phát hành để vá lỗ hổng trước đó. Chi tiết này cho thấy kẻ tấn công liên tục theo dõi và thích ứng với các bản vá bảo mật.
Theo chuyên gia Kaspersky, Coruna có dấu hiệu chuyển từ công cụ tấn công có chủ đích sang khả năng khai thác trên diện rộng. Nếu thiết bị chưa cập nhật bản vá, nguy cơ bị xâm nhập vẫn hiện hữu, đặc biệt trong bối cảnh mã khai thác liên tục được nâng cấp.
Sau khi phân tích mã nguồn ở cấp độ sâu, GReAT xác định Coruna có mối liên hệ trực tiếp với chiến dịch Operation Triangulation - một chiến dịch tấn công có chủ đích (APT) từng được công bố năm 2023.
Cụ thể, 1 trong 5 mã khai thác của Coruna là phiên bản nâng cấp từ mã từng sử dụng trong Triangulation. Bốn mã còn lại, bao gồm cả những mã phát triển sau khi chiến dịch bị phanh phui, đều dựa trên cùng một khung kỹ thuật.
Ông Boris Larin, chuyên gia nghiên cứu bảo mật cấp cao tại GReAT, cho biết việc phân tích các tệp nhị phân đã giúp làm rõ mối liên hệ này, thay vì chỉ dựa trên việc sử dụng chung lỗ hổng như trước.
Operation Triangulation từng được phát hiện khi các chuyên gia Kaspersky giám sát lưu lượng mạng nội bộ và phát hiện nhiều thiết bị iOS bị tấn công. Chiến dịch này khai thác nhiều lỗ hổng zero-day, ảnh hưởng đến hàng loạt sản phẩm của Apple.
Kaspersky cho rằng, Coruna là phiên bản tiến hóa của bộ công cụ này, tiếp tục được duy trì và mở rộng nhằm gia tăng hiệu quả tấn công trong bối cảnh các hệ thống ngày càng được cập nhật.
Các chuyên gia khuyến nghị người dùng cần cập nhật hệ điều hành iOS lên phiên bản mới nhất để giảm thiểu rủi ro.
