Framework Eksploitasi iOS Coruna Kini Serang Pengguna Biasa

Sebuah alat peretasan untuk iPhone bernama Coruna, yang tadinya diduga dibuat untuk kegiatan mata-mata pemerintah, kini dipakai dalam serangan siber yang menargetkan pengguna biasa. Alat ini digunakan untuk mencuri uang kripto dan mengambil data pribadi dari ponsel iPhone.

Temuan ini disampaikan oleh tim keamanan dari Google dan perusahaan keamanan ponsel, iVerify. Dalam analisis mereka, Coruna diketahui memiliki lima rangkaian cara untuk mengeksploitasi sistem dan menggunakan 23 kelemahan keamanan pada sistem operasi Apple, mulai dari iOS 13 hingga versi 17.2.1.

Dengan metode ini, situs web biasa bisa disulap menjadi jalan masuk untuk menanamkan infeksi secara diam-diam pada perangkat yang belum diperbarui. Serangan ini fokus pada mesin peramban WebKit milik Apple.

Serangan dimulai ketika sebuah kode JavaScript dijalankan. Kode ini akan mencari tahu jenis perangkat dan versi iOS yang digunakan. Setelah itu, kode akan memilih cara eksploitasi yang paling cocok untuk mendapatkan akses tertinggi hingga tingkat kernel. Setelah berhasil, komponen yang disebut loader akan dipasang dengan izin penuh (hak akses root).

Google pertama kali melihat bagian-bagian dari Coruna pada Februari tahun lalu. Saat itu, alat tersebut digunakan dalam operasi pengawasan oleh klien perusahaan pengawasan. Kemudian pada Juli, versi Coruna yang lebih lengkap ditemukan dalam operasi spionase yang diduga terkait dengan kelompok intelijen dari Rusia. Eksploitasi ini disisipkan pada penghitung pengunjung di situs-situs Ukraina untuk menyerang target tertentu berdasarkan lokasi mereka.

Belakangan, Coruna digunakan dalam serangan besar-besaran yang menyasar situs-situs judi dan mata uang kripto berbahasa Mandarin. iVerify memperkirakan, dalam salah satu operasi kriminal tersebut, sekitar 42.000 perangkat terinfeksi. Perkiraan ini didasarkan pada jejak koneksi ke server kendali utama.

Struktur kode Coruna menunjukkan kemiripan dengan operasi "Triangulation" yang terungkap pada 2022. Operasi Triangulation sempat dikaitkan dengan Badan Keamanan Nasional AS (NSA) oleh pihak Rusia, meskipun pemerintah AS tidak pernah memberikan tanggapan resmi.

Menurut iVerify, bagian utama dari kerangka kerja Coruna terlihat sangat terorganisir. Namun, modul yang ditambahkan belakangan untuk mencuri kripto tampak kurang rapi. Kondisi ini menimbulkan dugaan bahwa perangkat lunak eksploitasi canggih ini mungkin telah berpindah tangan melalui pasar broker celah keamanan zero-day, sebelum akhirnya digunakan oleh kelompok negara dan penjahat siber.

Meskipun Apple sudah menutup celah-celah keamanan yang teridentifikasi, Google mengingatkan bahwa teknik dasar yang digunakan Coruna memiliki potensi untuk diadopsi kembali oleh pihak lain. Hal ini bisa digunakan untuk mengeksploitasi celah keamanan baru di masa depan.

Ringkasan

Alat peretasan Coruna, yang awalnya untuk pengawasan, kini digunakan untuk mencuri kripto dan data pengguna iPhone melalui eksploitasi celah keamanan iOS dari versi 13 hingga 17.2.1. Serangan memanfaatkan situs web untuk menanamkan kode melalui WebKit, mencapai akses root. Alat ini sebelumnya terdeteksi dalam operasi mata-mata, namun kini digunakan dalam kampanye kriminal massal yang menargetkan pengguna kripto. Strukturnya yang terbagi antara kode canggih dan modul pencurian yang kasar mengindikasikan perpindahan kepemilikan alat tersebut.