Google предупредила о криптовалютных мошенничествах с использованием «нового и мощного» эксплойт-набора для iPhone

Исследователи по безопасности из Google заявили, что обнаружили новый эксплойт-кит, нацеленный на пользователей Apple iPhone с целью кражи сид-фраз криптовалютных кошельков. 

Данный эксплойт-кит, получивший название “Coruna” от своих разработчиков, нацелен на iPhone с версиями iOS от 13.0 до 17.2.1. Он включает “пять полноценных цепочек эксплойтов iOS и всего 23 эксплойта”, включая те, которые ранее не были известны общественности, говорится в докладе Google Threat Intelligence Group (GTIG), опубликованном в среду.

Группа сообщила, что впервые обнаружила этот набор в феврале 2025 года и с тех пор отслеживала его использование предположительно российской шпионской группой против украинцев, а позднее – на поддельных китайских криптовалютных сайтах, созданных для кражи криптовалюты.

GTIG отмечает, что эксплойт-кит не работает с последней версией iOS и настоятельно рекомендует пользователям iPhone обновиться до актуальной версии системы. Если это невозможно, рекомендуется включить “режим блокировки” (Lockdown Mode), который, по словам Apple, может противостоять сложным атакам.

Кит нацелен на криптовалюту через поддельные сайты

GTIG отмечает, что в феврале 2025 года был зафиксирован фрагмент эксплойта iOS, когда клиент компании по слежке использовал JavaScript для сбора информации об устройстве и доставки соответствующего эксплойта.

Позднее в том же году аналогичный JavaScript-фреймворк был обнаружен на ряде скомпрометированных украинских сайтов – он “доставлялся только избранным пользователям iPhone из определённого геолокационного региона”.

Позднее GTIG обнаружила этот же фреймворк в декабре “на крупном наборе поддельных китайских сайтов, связанных преимущественно с финансами”, в том числе на сайте, имитирующем криптовалютную биржу WEEX.

Когда пользователь заходит на такие сайты с устройства на iOS, фреймворк доставляет эксплойт-кит и ищет финансовую информацию, анализируя тексты на наличие сид-фраз и ключевых слов, таких как “backup phrase” или “bank account”.

Связано: Хакеры ‘ClickFix’ выдают себя за венчурных инвесторов, захватывают QuickLens в новых атаках на крипторынок

Также эксплойт-кит ищет популярные криптоприложения, такие как Uniswap и MetaMask, чтобы получить доступ к криптовалюте или чувствительной информации.

Происхождение Coruna из США – повод для споров

GTIG не назвала клиента компании по слежке, который предположительно стал источником эксплойта, но компания по мобильной безопасности iVerify сообщила WIRED, что он мог быть разработан или приобретён правительством США.

“Это высокотехнологичный инструмент, на разработку которого ушли миллионы долларов, и он имеет общие черты с другими модулями, публично приписываемыми правительству США”, – рассказал WIRED соучредитель iVerify Рокки Коул.

“Это первый случай, когда мы видим инструменты правительства США — по тому, что говорит код — вышедшие из-под контроля и оказывающиеся в руках наших противников и киберпреступников.”

Однако ведущий исследователь компании Kaspersky сообщил The Register, что у компании нет “никаких подтверждений повторного использования кода в опубликованных докладах для обоснования связи Coruna с теми же авторами”.

Магазин: Познакомьтесь с ончейн-криптодетективами, борющимися с преступностью эффективнее полиции