iPhone暗号エクスプロイトキット「Coruna」はスパイ行為から大規模金融窃盗に移行

かつて国家主導のスパイ活動に使用されていた洗練された「Coruna」エクスプロイト キットは、現在では洗練されたフィッシング Web サイト経由で iPhone ユーザーの暗号通貨ウォレットをターゲットにしています。

iPhone, Crypto, Exploit Kit: A New Wave of Digital Danger

iPhone、暗号通貨、エクスプロイト キット: デジタル危険の新たな波

In a concerning development that blurs the lines between state-sponsored surveillance and street-level thievery, a powerful iPhone exploit kit known as 'Coruna' has been repurposed for mass financial theft. Originally designed for espionage, this sophisticated toolkit is now actively targeting cryptocurrency wallets on iPhones, turning high-tech surveillance tools into instruments for draining digital fortunes.

国家支援による監視と街頭レベルでの窃盗との境界があいまいになる憂慮すべき展開の中で、「Coruna」として知られる強力な iPhone エクスプロイト キットが大規模な金融窃盗に再利用されています。元々はスパイ活動のために設計されたこの洗練されたツールキットは、現在では iPhone 上の暗号通貨ウォレットを積極的にターゲットにしており、ハイテク監視ツールをデジタル財産を流出させるための手段に変えています。

From Spies to Scammers: The Coruna Evolution

スパイから詐欺師へ: コルーニャの進化

Google's Threat Analysis Group (TAG) has uncovered the alarming shift of the 'Coruna' exploit kit. This advanced tool exploits a staggering 23 vulnerabilities across iOS versions 13.0 through 17.2.1. Cybercriminals are now deploying Coruna to scrape BIP39 seed phrases from unsuspecting iPhone users who visit compromised gambling sites or fake cryptocurrency exchange platforms. This represents a significant escalation, effectively democratizing military-grade surveillance capabilities for financial fraudsters.

Google の脅威分析グループ (TAG) は、「Coruna」エクスプロイト キットの驚くべき変化を明らかにしました。この高度なツールは、iOS バージョン 13.0 ～ 17.2.1 にわたる 23 件という驚異的な脆弱性を悪用します。サイバー犯罪者は現在、Coruna を導入して、危険にさらされたギャンブル サイトや偽の仮想通貨交換プラットフォームを訪問する無防備な iPhone ユーザーから BIP39 シード フレーズを収集しています。これは大幅なエスカレーションを表しており、金融詐欺師に対する軍事レベルの監視能力が事実上民主化されている。

How Coruna Pilfers Your Crypto

Coruna があなたの暗号を盗む方法

The mechanics behind the Coruna exploit are disturbingly sophisticated. Victims are lured to malicious websites designed to mimic legitimate services, such as the WEEX exchange or obscure gambling portals. A hidden JavaScript framework silently fingerprints the visitor's device. If a vulnerable iPhone is detected, the kit deploys a WebKit remote code execution (RCE) payload, bypassing Apple's Pointer Authentication Code (PAC) protections to gain system-level access. Once inside, Coruna bypasses typical ransomware tactics and goes straight for the digital keys. It meticulously scans the file system for data related to popular self-custody wallets, hunting for cached QR code images, unencrypted notes containing backup strings, and specific application data for wallets like MetaMask and BitKeep. The ultimate goal is to steal the 12-to-24-word BIP39 mnemonic phrases that grant complete control over a user's funds, which are then exfiltrated to command-and-control servers via encrypted channels. This entire process occurs in the background, often without any user interaction or browser crash, making it particularly lethal for those managing substantial crypto portfolios on their mobile devices.

Coruna エクスプロイトの背後にある仕組みは、気がかりなほど洗練されています。被害者は、WEEX 取引所や目立たないギャンブル ポータルなど、正規のサービスを模倣するように設計された悪意のある Web サイトに誘導されます。隠された JavaScript フレームワークが、サイレントに訪問者のデバイスのフィンガープリントを取得します。脆弱な iPhone が検出された場合、このキットは WebKit リモート コード実行 (RCE) ペイロードを展開し、Apple のポインター認証コード (PAC) 保護をバイパスしてシステム レベルのアクセスを取得します。 Coruna は内部に入ると、典型的なランサムウェア戦術を回避し、デジタル キーを直接取得します。ファイルシステムを注意深くスキャンして、人気のあるセルフカストディウォレットに関連するデータを探し、キャッシュされたQRコード画像、バックアップ文字列を含む暗号化されていないメモ、MetaMaskやBitKeepなどのウォレットの特定のアプリケーションデータを探します。最終的な目標は、ユーザーの資金を完全に制御できる 12 ～ 24 ワードの BIP39 ニーモニック フレーズを盗み出し、暗号化されたチャネルを介してコマンド アンド コントロール サーバーに流出させることです。このプロセス全体はバックグラウンドで実行され、多くの場合ユーザーの操作やブラウザのクラッシュは発生しないため、モバイル デバイスで大量の暗号ポートフォリオを管理している人にとっては特に致命的です。

The Shifting Landscape of Cyber Threats

変化するサイバー脅威の状況

TAG's analysis points to a murky underworld of

TAG の分析は、