iPhone Crypto Exploit Kit „Coruna“ wandelt sich von Spionage zu massivem Finanzdiebstahl

Das hochentwickelte „Coruna“-Exploit-Kit, das einst für staatlich geförderte Spionage eingesetzt wurde, zielt nun über hochentwickelte Phishing-Websites auf die Krypto-Wallets von iPhone-Benutzern ab.

iPhone, Crypto, Exploit Kit: A New Wave of Digital Danger

iPhone, Krypto, Exploit Kit: Eine neue Welle digitaler Gefahren

In a concerning development that blurs the lines between state-sponsored surveillance and street-level thievery, a powerful iPhone exploit kit known as 'Coruna' has been repurposed for mass financial theft. Originally designed for espionage, this sophisticated toolkit is now actively targeting cryptocurrency wallets on iPhones, turning high-tech surveillance tools into instruments for draining digital fortunes.

In einer besorgniserregenden Entwicklung, die die Grenzen zwischen staatlich geförderter Überwachung und Straßendiebstahl verwischt, wurde ein leistungsstarkes iPhone-Exploit-Kit namens „Coruna“ für massiven Finanzdiebstahl zweckentfremdet. Ursprünglich für Spionagezwecke konzipiert, zielt dieses hochentwickelte Toolkit nun aktiv auf Kryptowährungs-Wallets auf iPhones ab und verwandelt High-Tech-Überwachungstools in Instrumente zur Ausbeutung digitaler Vermögen.

From Spies to Scammers: The Coruna Evolution

Von Spionen zu Betrügern: Die Coruna-Entwicklung

Google's Threat Analysis Group (TAG) has uncovered the alarming shift of the 'Coruna' exploit kit. This advanced tool exploits a staggering 23 vulnerabilities across iOS versions 13.0 through 17.2.1. Cybercriminals are now deploying Coruna to scrape BIP39 seed phrases from unsuspecting iPhone users who visit compromised gambling sites or fake cryptocurrency exchange platforms. This represents a significant escalation, effectively democratizing military-grade surveillance capabilities for financial fraudsters.

Die Threat Analysis Group (TAG) von Google hat die alarmierende Veränderung des Exploit-Kits „Coruna“ aufgedeckt. Dieses fortschrittliche Tool nutzt unglaubliche 23 Schwachstellen in den iOS-Versionen 13.0 bis 17.2.1 aus. Cyberkriminelle nutzen Coruna nun, um BIP39-Seed-Phrasen von ahnungslosen iPhone-Benutzern zu kratzen, die kompromittierte Glücksspielseiten oder gefälschte Kryptowährungs-Austauschplattformen besuchen. Dies stellt eine erhebliche Eskalation dar und führt zu einer Demokratisierung militärischer Überwachungsmöglichkeiten für Finanzbetrüger.

How Coruna Pilfers Your Crypto

Wie Coruna Ihre Kryptowährung stiehlt

The mechanics behind the Coruna exploit are disturbingly sophisticated. Victims are lured to malicious websites designed to mimic legitimate services, such as the WEEX exchange or obscure gambling portals. A hidden JavaScript framework silently fingerprints the visitor's device. If a vulnerable iPhone is detected, the kit deploys a WebKit remote code execution (RCE) payload, bypassing Apple's Pointer Authentication Code (PAC) protections to gain system-level access. Once inside, Coruna bypasses typical ransomware tactics and goes straight for the digital keys. It meticulously scans the file system for data related to popular self-custody wallets, hunting for cached QR code images, unencrypted notes containing backup strings, and specific application data for wallets like MetaMask and BitKeep. The ultimate goal is to steal the 12-to-24-word BIP39 mnemonic phrases that grant complete control over a user's funds, which are then exfiltrated to command-and-control servers via encrypted channels. This entire process occurs in the background, often without any user interaction or browser crash, making it particularly lethal for those managing substantial crypto portfolios on their mobile devices.

Die Mechanismen hinter dem Coruna-Exploit sind beunruhigend ausgeklügelt. Opfer werden auf bösartige Websites gelockt, die legitime Dienste nachahmen sollen, wie etwa die WEEX-Börse oder obskure Glücksspielportale. Ein verstecktes JavaScript-Framework erfasst stillschweigend einen Fingerabdruck auf dem Gerät des Besuchers. Wenn ein anfälliges iPhone erkannt wird, stellt das Kit eine WebKit-Remote-Code-Execution-Nutzlast (RCE) bereit und umgeht dabei den Pointer Authentication Code (PAC)-Schutz von Apple, um Zugriff auf Systemebene zu erhalten. Einmal drinnen, umgeht Coruna typische Ransomware-Taktiken und greift direkt zu den digitalen Schlüsseln. Es durchsucht das Dateisystem akribisch nach Daten im Zusammenhang mit beliebten Self-Custody-Wallets und sucht nach zwischengespeicherten QR-Code-Bildern, unverschlüsselten Notizen mit Backup-Strings und spezifischen Anwendungsdaten für Wallets wie MetaMask und BitKeep. Das ultimative Ziel besteht darin, die aus 12 bis 24 Wörtern bestehenden BIP39-Mnemonikphrasen zu stehlen, die die vollständige Kontrolle über die Gelder eines Benutzers ermöglichen, die dann über verschlüsselte Kanäle an Command-and-Control-Server exfiltriert werden. Dieser gesamte Prozess läuft im Hintergrund ab, oft ohne Benutzerinteraktion oder Browserabsturz, was ihn besonders tödlich für diejenigen macht, die umfangreiche Krypto-Portfolios auf ihren Mobilgeräten verwalten.

The Shifting Landscape of Cyber Threats

Die sich verändernde Landschaft der Cyber-Bedrohungen

TAG's analysis points to a murky underworld of

Die Analyse von TAG weist auf eine düstere Unterwelt hin