El exploit del kernel para dos vulnerabilidades de seguridad utilizado en el kit de exploits para iOS de Apple, conocido como Coruna, descubierto recientemente, es una versión actualizada del mismo exploit utilizado en la campaña Operation Triangulation en 2023, según nuevos hallazgos de Kaspersky.

"Cuando se informó por primera vez sobre Coruna, la evidencia pública no era suficiente para vincular su código con Triangulation; las vulnerabilidades compartidas por sí solas no prueban la autoría compartida", declaró Boris Larin, investigador principal de seguridad en Kaspersky GReAT.

Coruna no es una recopilación de exploits públicos; es una evolución en constante mantenimiento del marco original de Operation Triangulation. La inclusión de comprobaciones para procesadores recientes como el M3 y versiones más recientes de iOS demuestra que los desarrolladores originales han ampliado activamente este código. Lo que comenzó como una herramienta de espionaje de precisión ahora se implementa indiscriminadamente. 

La Operación Triangulación es una compleja campaña APT móvil dirigida a dispositivos iOS. Kaspersky la descubrió mientras monitorizaba el tráfico de nuestra red Wi-Fi corporativa. Tras la investigación, descubrieron que esta campaña empleaba un sofisticado implante de spyware y múltiples exploits Zero-Day. La investigación duró más de seis meses, y los expertos de Kaspersky también presentaron estos hallazgos en el 37º Congreso de Comunicación del Caos (37C3).

Google e iVerify documentaron por primera vez Coruna a principios de este mes, identificándola como una herramienta dirigida a modelos de iPhone de Apple con versiones de iOS entre 13.0 y 17.2.1. El kit Coruna reutiliza exploits del kernel dirigidos a dispositivos iOS 13–17.2.1, expandiendo los ataques a campañas de explotación masiva.

Si bien el uso de este kit fue realizado inicialmente por un cliente de una empresa de vigilancia anónima a principios del año pasado, desde entonces ha sido utilizado por un presunto actor estatal alineado con Rusia en ataques de tipo watering hole en Ucrania y en una campaña de explotación masiva que empleó un conjunto de sitios web falsos chinos de apuestas y criptomonedas para distribuir un malware de robo de datos conocido como PlasmaLoader (también conocido como PLASMAGRID).

El kit contiene cinco cadenas de exploits completas para iOS y un total de 23 exploits, incluyendo CVE-2023-32434 y CVE-2023-38606, ambos utilizados inicialmente como vulnerabilidades de día cero en la Operation Triangulation, una sofisticada campaña dirigida a dispositivos iOS que implicó la explotación de cuatro vulnerabilidades en el sistema operativo móvil de Apple.

Los últimos hallazgos de Kaspersky indicaron que los exploits del kernel tanto en Triangulation como en Coruna fueron creados por el mismo autor, y que Coruna también utilizó cuatro exploits adicionales del kernel. El proveedor de seguridad ruso afirmó que todos estos exploits se basan en el mismo marco de explotación del kernel y comparten código común.

Específicamente, el código incluye soporte para los procesadores A17, M3, M3 Pro y M3 Max de Apple, además de comprobaciones para iOS 17.2 y la versión 16.5 beta 4 de iOS, esta última parcheada para las cuatro vulnerabilidades explotadas en la operación original. Por otro lado, la comprobación para iOS 17.2 está diseñada para tener en cuenta las vulnerabilidades más recientes, según Kaspersky.

El ataque comienza cuando un usuario visita un sitio web comprometido en Safari, lo que provoca que un programa de análisis identifique el navegador y ejecute la vulnerabilidad adecuada según la versión del navegador y del sistema operativo. Esto, a su vez, permite la ejecución de una carga útil que activa la vulnerabilidad del kernel.

Tras descargar los componentes necesarios, el payload comienza a ejecutar vulnerabilidades del kernel, cargadores Mach-O y el lanzador de malware. Esta carga útil selecciona un cargador Mach-O apropiado según la versión del firmware, la CPU y la presencia del permiso iokit-open-service.

El lanzador es el principal responsable de iniciar las actividades posteriores a la explotación, aprovechando la vulnerabilidad del kernel para instalar y ejecutar el implante final. También elimina los rastros de la explotación para ocultar la evidencia forense.

"Desarrollado originalmente para fines de ciberespionaje, este marco de trabajo ahora está siendo utilizado por ciberdelincuentes de un tipo más amplio, poniendo en riesgo a millones de usuarios con dispositivos sin actualizar", declaró Larin. "Dado su diseño modular y su facilidad de reutilización, prevemos que otros actores maliciosos comenzarán a incorporarlo en sus ataques".

Este desarrollo coincide con la filtración en GitHub de una nueva versión del kit de exploits para iPhone, DarkSword, lo que genera preocupación ante la posibilidad de que pueda proporcionar a más actores maliciosos capacidades avanzadas para comprometer dispositivos, convirtiendo lo que antes era una herramienta de hacking de élite en un marco de explotación masiva. El lanzamiento de la nueva versión fue reportado inicialmente por TechCrunch.

Fuente: THN