El Grupo de Inteligencia de Amenazas de Google (GTIG) ha descubierto Coruna, un sofisticado kit de exploits para iOS que contiene 23 exploits distribuidos en cinco cadenas de explotación completas, que comprometieron miles de iPhones con versiones de iOS desde la 13.0 hasta la 17.2.1 durante 2025. El kit de exploits Coruna es un marco de ataque modular avanzado para iOS, descubierto por GTIG, que apunta a modelos de iPhone desde iOS 13.0.

• El Grupo de Inteligencia de Amenazas de Google (GTIG) ha descubierto Coruna, un kit de exploits para iOS altamente sofisticado que contiene 23 exploits distribuidos en cinco cadenas de explotación completas, comprometiendo miles de iPhones con versiones de iOS desde la 13.0 hasta la 17.2.1 durante 2025. El kit de exploits Coruna es un marco de ataque modular avanzado para iOS, descubierto por GTIG, que apunta a modelos de iPhone desde iOS 13.0 (septiembre de 2019) hasta iOS 17.2.1 (diciembre de 2023). El nombre del kit se reveló cuando un actor de amenazas desplegó por error una versión de depuración del marco, exponiendo nombres de código internos y la identidad del propio kit. Sus exploits cuentan con una extensa documentación escrita en inglés nativo, y los componentes más avanzados utilizan técnicas de explotación no públicas y métodos para eludir mitigaciones, una característica típica de herramientas de nivel estatal. 

 

Cronología de Explotación en Tres Fases

GTIG rastreó la evolución de Coruna a través de tres ecosistemas distintos de actores de amenazas durante 2025, ofreciendo una visión poco común de cómo los kits de exploits de élite se propagan desde proveedores comerciales de vigilancia hasta grupos de espionaje patrocinados por estados y, finalmente, a ciberdelincuentes con motivaciones financieras.

• Febrero de 2025 – Cliente de Vigilancia Comercial: GTIG capturó por primera vez partes de una cadena de exploits para iOS entregada a través de un marco de JavaScript nunca antes visto, que empleaba técnicas de ofuscación únicas. El marco identificaba dispositivos para determinar el modelo de iPhone y la versión de iOS antes de cargar el exploit de ejecución remota de código (RCE) en WebKit, seguido de un bypass de Pointer Authentication Code (PAC).
• Verano de 2025 – Espionaje Ruso (UNC6353): El mismo marco de JavaScript fue encontrado alojado en cdn.uacounter[.]com, inyectado como un iFrame oculto en docenas de sitios web ucranianos comprometidos, abarcando sectores industriales, minoristas y de comercio electrónico. Los exploits se entregaban selectivamente según la geolocalización a usuarios de iPhone. GTIG alertó a CERT-UA para limpiar todos los sitios afectados.
• Finales de 2025 – Fraude Financiero Chino (UNC6691): El kit de exploits completo fue recuperado de una amplia red de sitios web falsos de finanzas y criptomonedas chinos, diseñados para atraer a usuarios de iOS. Un sitio falso de la exchange de criptomonedas WEEX mostraba ventanas emergentes instando específicamente a los usuarios a visitarlo desde un iPhone.

Los 23 exploits abarcan cinco cadenas de explotación completas que entregan RCE en WebKit, bypasses de PAC, escapes de sandbox, escalada de privilegios (PE) y bypasses de PPL (Page Protection Layer). Algunas vulnerabilidades clave incluyen:

Tipo	Nombre en Código	Versiones de iOS Afectadas	CVE
Lectura/Escritura en WebContent	buffout	13 → 15.1.1	CVE-2021-30952
Lectura/Escritura en WebContent	jacurutu	15.2 → 15.5	CVE-2022-48503
Lectura/Escritura en WebContent	terrorbird	16.2 → 16.5.1	CVE-2023-43000
Lectura/Escritura en WebContent	cassowary	16.6 → 17.2.1	CVE-2024-23222
Escape de Sandbox	IronLoader	16.0 → 16.3.1	CVE-2023-32409
Escalada de Privilegios (PE)	Photon	14.5 → 15.7.6	CVE-2023-32434
Bypass de PPL	Gallium	14.x	CVE-2023-38606
Bypass de PPL	Sparrow	17.0 → 17.3	CVE-2024-23225
Bypass de PPL	Rocket	17.1 → 17.4	CVE-2024-23296

Dos exploits, Photon y Gallium, apuntan a vulnerabilidades previamente utilizadas en Operation Triangulation, la campaña de espionaje en iOS descubierta por Kaspersky en 2023.

PlasmaLoader: La Carga Útil de Robo Financiero

Al final de la cadena de exploits, un binario de etapa llamado PlasmaLoader (rastreado como PLASMAGRID) se inyecta en powerd, un demonio de iOS con privilegios de root, usando com.apple.assistd como identificador de camuflaje.

La carga útil apunta a 18 aplicaciones de carteras de criptomonedas, incluyendo MetaMask, BitKeep y Phantom, interceptando sus funciones para exfiltrar datos sensibles. También puede escanear Apple Notes en busca de frases semilla BIP39 y palabras clave como "backup phrase" o "bank account". Todos los registros y comentarios en el código están escritos en chino, con estructuras de comentarios generadas por IA, lo que apunta fuertemente a desarrolladores de habla china. La comunicación de red utiliza HTTPS con cifrado AES, mientras que un Algoritmo de Generación de Dominios (DGA) personalizado, sembrado con la cadena "lazarus", genera dominios de respaldo .xyz de 15 caracteres, validados mediante el resolvedor DNS público de Google. GTIG ha añadido todos los dominios y sitios web identificados a Google Safe Browsing. El kit de exploits Coruna no es efectivo contra la última versión de iOS. Los equipos de seguridad y los usuarios deben tomar las siguientes medidas:

• Actualiza inmediatamente todos los iPhones a la última versión de iOS.
• Activa el Modo de Bloqueo si no es posible actualizar — Coruna se detiene automáticamente al detectarlo.
• Evita acceder a sitios web financieros o de criptomonedas privados o no verificados desde Safari móvil.
• Monitorea solicitudes de red anómalas a dominios .xyz o encabezados HTTP como sdkv y x-ts, ya que podrían ser indicadores de comando y control (C2).

Fuentes:
https://cybersecuritynews.com/coruna-ios-exploit-kit/