Un potente kit de explotación para iPhone llamado Coruna, creado inicialmente para servicios de inteligencia occidentales por el contratista estadounidense L3Harris, ha caído en manos de espías rusos y ciberdelincuentes chinos. El kit Coruna incluye 23 componentes diferentes de hacking diseñados para comprometer iPhones de Apple. Trenchant, la división de hacking del contratista militar estadounidense L3Harris.

Un potente kit de exploits para iPhone llamado “Coruna”, creado inicialmente para los servicios de inteligencia occidentales por el contratista estadounidense L3Harris, ha caído en manos de espías rusos y ciberdelincuentes chinos.

El kit de herramientas Coruna incluye 23 componentes diferentes de hacking diseñados para comprometer iPhones de Apple.

Trenchant, la división de hacking del contratista militar estadounidense L3Harris, lo desarrolló originalmente para su uso por parte de Estados Unidos y sus aliados de inteligencia de los Cinco Ojos.

Sin embargo, el kit de herramientas se filtró cuando Peter Williams, exdirector general de Trenchant, actuó como una amenaza interna y robó ocho de las herramientas de la empresa.

Entre 2022 y 2025, Williams vendió estos exploits por $1.3 millones a Operation Zero, un corredor de exploits ruso sancionado.

Tras adquirir las herramientas robadas, Operation Zero supuestamente revendió el spyware a usuarios no autorizados.

Esto permitió a un grupo de espionaje ruso, identificado por Google como UNC6353, desplegar Coruna en ataques de tipo watering-hole dirigidos contra usuarios ucranianos de iPhone.

El sofisticado kit de herramientas cambió de manos nuevamente, terminando finalmente en poder de bandas de ciberdelincuentes chinos que lanzaron campañas a gran escala para robar dinero y criptomonedas de víctimas desprevenidas.

 

Exploits y Operation Triangulation

Google y la firma de seguridad iVerify confirmaron que Coruna apunta a modelos de iPhone que ejecutan iOS 13 hasta 17.2.1.

El kit de herramientas comparte sorprendentes similitudes con Operation Triangulation, una compleja campaña de hacking de iPhone descubierta por Kaspersky en 2023.

En concreto, Coruna reutilizó dos exploits internos importantes, Photon y Gallium, que se desplegaron como vulnerabilidades de día cero en los ataques de Triangulation.

Los investigadores de seguridad vincularon estos nombres de exploits específicos de Coruna con vulnerabilidades conocidas de iOS.

“Photon” está relacionado con CVE-2023-32434 y se describe como una falla de escalada de privilegios que implica un desbordamiento de enteros en el mapeo de memoria, afectando a versiones de iOS desde 14.5 hasta 15.7.6.

“Gallium” está vinculado a CVE-2023-38606 y es una debilidad centrada en hardware utilizada para eludir la Capa de Protección de Páginas (PPL) de Apple, afectando a versiones de iOS desde aproximadamente 14.x hasta 16.6.

Como señaló el investigador de seguridad independiente Costin Raiu y destacó TechCrunch, los nombres internos de los módulos de Coruna con temática de aves, como Cassowary y Sparrow, coinciden con las convenciones de nomenclatura de las unidades de hacking de L3Harris.

Además, el logotipo personalizado de Kaspersky para Operation Triangulation se asemeja mucho al logotipo geométrico de L3Harris, lo que sugiere sutilmente la participación del contratista.

Aunque el camino exacto que tomaron los exploits sigue siendo confuso, la filtración pone de relieve los graves riesgos cuando las ciberarmas de los estados-nación caen en el mundo criminal.

Fuentes:
https://cybersecuritynews.com/iphone-exploit-toolkit-and-russian-spies/