Google: ערכת הפריצה Coruna לאייפון עברה בין שלושה תוקפים, ובסוף גנבה קריפטו
ב-3 במרץ 2026 חשפה Google את Coruna, ערכת פריצה לאייפון עם 23 פרצות נגד iOS 13 עד 17.2.1. מלקוח של ספק מעקב היא הגיעה לקבוצה שרוצה כסף.
TL;DR בקצרה
- GTIG של Google חשפה ב-3 במרץ 2026 את Coruna: חמש שרשראות פריצה ו-23 פרצות נגד iOS 13.0 עד 17.2.1.
- לפי Google, הערכה עברה מלקוח של ספק מעקב מסחרי לקבוצה החשודה בריגול רוסי, ומשם לקבוצה פיננסית מסין.
- הערכה גונבת מידע פיננסי, ובהם ביטויי שחזור של ארנקי קריפטו מ-Apple Notes ומקודי QR.
- Google ממליצה לעדכן את iOS, ואם אי אפשר, להפעיל Lockdown Mode.
צוות GTIG של Google חשף ב-3 במרץ 2026 את Coruna exploit kit, ערכת פריצה לאייפון. היא כוללת 23 פרצות. GTIG הוא Google Threat Intelligence Group, צוות המודיעין של החברה. לפי הדוח של Google, הערכה פועלת נגד iOS 13.0 עד iOS 17.2.1. היא עברה בין שלוש קבוצות תוקפים, ובסוף שימשה לגניבת כסף דיגיטלי.
ערכת פריצה היא אוסף מוכן של פרצות. גם מי שלא כתב את הקוד יכול להפעיל אותו.
מה Coruna exploit kit עושה לאייפון
הערכה כוללת חמש שרשראות פריצה מלאות. בין כולן יש 23 פרצות. לפי Google, הפרצות המתקדמות משתמשות בטכניקות לא פומביות ועוקפות מנגנוני הגנה.
הקורבן מגיע לאתר, ו-iFrame סמוי בדף מפעיל את הפרצות. iFrame הוא דף אחד שמוטמע בתוך דף אחר. לפי GTIG, ביקור באתר מאייפון מספיק להפעלת הערכה. חברת האבטחה iVerify מעריכה, לפי Help Net Security, שכל מי שנכנס לאתר עם iOS פגיעה עלול להידבק.
מי הפעיל את Coruna exploit kit
בפברואר 2025 לכדה GTIG חלקים משרשרת פריצה. את השרשרת הפעיל לקוח של ספק מעקב מסחרי. התוקף שלח אותה לקורבנות שבחר באזור גיאוגרפי מסוים.
בקיץ 2025 הפעילה את הערכה UNC6353, קבוצה החשודה בריגול רוסי. היא הסתתרה ב-iFrame סמוי באתרים אוקראיניים שנפרצו. בין האתרים היו אתרי ציוד תעשייתי וחנויות. GTIG עבדה עם CERT-UA כדי לנקות את האתרים.
בסוף 2025 מצאה GTIG את הערכה באתרים סיניים מזויפים, בעיקר בתחום הפיננסים. מאחוריהם עומדת UNC6691, קבוצה שמנסה להרוויח כסף ופועלת מסין, לפי Google. אחת הדוגמאות היא חלון קופץ באתר מזויף של בורסת הקריפטו WEEX.
Google לא יודעת איך הערכה עברה מקבוצה לקבוצה. היא מעריכה שיש שוק פעיל של פרצות יום אפס יד שנייה.
מה Coruna גונבת מהמכשיר
המטען של הערכה אינו דומה לכלי ריגול רגילים. לדברי GTIG, הוא גונב מידע פיננסי. הוא מפענח קודי QR מתמונות שנשמרו במכשיר. הוא גם מחפש בטקסט רצפי מילים של BIP39, או ביטויים כמו ״backup phrase״ ו-״bank account״.
BIP39 הוא התקן לביטוי השחזור של ארנק קריפטו, רצף מילים שמאפשר לשחזר את הארנק. הערכה מעבירה לשרת של התוקפים טקסט תואם מ-Apple Notes. מודולים נוספים פונים לארנקים כמו MetaMask, Phantom, Exodus, Trust ו-Uniswap, ולעוד כתריסר אפליקציות.
איך מתגוננים מ-Coruna exploit kit
GTIG מציינת שהערכה אינה יעילה נגד הגרסה האחרונה של iOS. היא ממליצה לעדכן. אם אי אפשר, היא ממליצה להפעיל Lockdown Mode. זהו מצב ההגנה החזק של Apple, והוא מגביל חלק מהתכונות.
הערכה בודקת אם המכשיר במצב Lockdown או אם המשתמש גולש בגלישה פרטית. אז היא מפסיקה לפעול. GTIG לא ממליצה על גלישה פרטית כהגנה, רק על עדכון ועל Lockdown Mode.
Google הוסיפה את האתרים לרשימות Safe Browsing. ב-5 במרץ הוסיפה CISA לקטלוג KEV שלוש חולשות של Apple: CVE-2021-30952, CVE-2023-41974 ו-CVE-2023-43000. GTIG מונה אותן בין חולשות הערכה. מועד התיקון לסוכנויות פדרליות בארה״ב הוא 26 במרץ.
מה קרה מאז: ב-11 במרץ 2026 הוציאה Apple את iOS 15.8.7. העדכון מיועד ל-iPhone 6s, ל-iPhone 7 ולמכשירים ישנים נוספים. באותו יום יצאה iOS 16.7.15 ל-iPhone 8 ול-iPhone X. דפי האבטחה של Apple מקשרים את התיקונים לערכת Coruna. התיקונים עצמם יצאו כבר בין iOS 16.6 ל-iOS 17.3.
מה זה אומר עבורכם
- עדכנו כל אייפון ואייפד: התקינו את הגרסה האחרונה של iOS. לפי Google, הערכה אינה יעילה נגדה.
- מכשירים ישנים: בדקו אם יש להם עדכון. Apple הוציאה ב-11 במרץ iOS 15.8.7 ו-iOS 16.7.15 למכשירים שאינם תומכים בגרסה האחרונה.
- אי אפשר לעדכן? הפעילו Lockdown Mode. זו ההמלצה של GTIG למכשירים כאלה.
- אל תשמרו ביטוי שחזור בהערות: הערכה מחפשת ביטויים כאלה ב-Apple Notes ובתמונות עם קודי QR. שמרו אותם במקום לא דיגיטלי.
- ארגונים: בדקו ב-MDM אילו מכשירים עדיין על iOS 17.2.1 או נמוך ממנו. אלה הגרסאות שהערכה מכוונת אליהן.
מקורות והרחבה
- Coruna: The Mysterious Journey of a Powerful iOS Exploit KitGoogle Threat Intelligence Group
- CISA Adds Five Known Exploited Vulnerabilities to CatalogCISA
- About the security content of iOS 15.8.7 and iPadOS 15.8.7Apple
- About the security content of iOS 16.7.15 and iPadOS 16.7.15Apple
- Coruna: Spy-grade iOS exploit kit powering financial crimeHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
