Digital Inside
A equipa Kaspersky GReAT concluiu que o exploit kit Coruna representa uma evolução direta de um framework anteriormente utilizado na campanha de ciberespionagem Operation Triangulation. A análise ao código revela que os exploits de kernel presentes em ambas as operações foram desenvolvidos pelo mesmo autor, reforçando a ligação entre as duas iniciativas.
A Operation Triangulation foi tornada pública em junho de 2023, após a Kaspersky ter identificado atividade suspeita na sua própria rede Wi-Fi corporativa. Os atacantes estavam a comprometer dispositivos iOS de colaboradores, explorando vulnerabilidades desconhecidas até então. No total, foram identificadas quatro vulnerabilidades de dia zero que afetavam vários produtos da Apple, permitindo comprometer os equipamentos sem conhecimento prévio dos utilizadores ou do fabricante.
No caso do Coruna, a investigação aponta para a reutilização e evolução desses métodos. Entre os cinco exploits de kernel identificados, um corresponde a uma versão atualizada de uma técnica já observada em 2023. Os restantes quatro seguem a mesma base tecnológica, incluindo dois desenvolvidos após a divulgação pública da campanha inicial. Este padrão indica uma continuidade no desenvolvimento do framework, afastando a hipótese de se tratar de ferramentas independentes reunidas num único pacote.
A análise vai além dos exploits e identifica semelhanças em vários componentes do código, o que sustenta a ideia de um desenvolvimento estruturado e contínuo. O Coruna surge assim não como um conjunto isolado de ferramentas, mas como a evolução sustentada de uma plataforma de exploração previamente utilizada em operações altamente direcionadas.
O código do Coruna inclui compatibilidade com processadores recentes da Apple, como os A17 e a família M3, bem como referências a versões do sistema operativo iOS até à 17.2, lançadas no final de 2023. Adicionalmente, foi identificada uma verificação específica para o iOS 16.5 beta 4, versão que introduziu correções para vulnerabilidades anteriormente exploradas.
A presença de suporte para hardware e software recentes sugere que os responsáveis pelo desenvolvimento destas ferramentas continuam ativos e a atualizar o seu código, acompanhando a evolução do ecossistema da Apple. Segundo a análise, o que começou como uma campanha altamente direcionada de ciberespionagem está agora a ganhar um âmbito mais alargado.
A Kaspersky recomenda que os utilizadores de iPhone instalem as versões mais recentes do iOS sem demora. Apesar de as vulnerabilidades exploradas já terem sido corrigidas, os dispositivos que não estejam atualizados mantêm-se expostos a riscos conhecidos e potencialmente exploráveis.
