Skip to content
Hacker Posts

Zimperium : 608 domaines exploitent iOS via Coruna et DarkSword

Zimperium zLabs recense 608 domaines diffusant les chaînes d'exploitation iOS Coruna et DarkSword ; exfiltration confirmée sur iOS 18.6.2. IOCs publiés.

Publié le 3 min de lecture
rechercheappleioszimperium

L'équipe zLabs de Zimperium a publié le 29 octobre 2026 une analyse de deux chaînes d'exploitation visant iPhone, Coruna et DarkSword, et recense 608 domaines diffusant du code de la famille Coruna. Le rapport est relayé côté FR par UnderNews. Le billet technique de zLabs (auteur : Santiago Rodriguez) est la source primaire.

Ce que fait l'infrastructure

L'ensemble route les victimes selon la version d'iOS. Les appareils en iOS 17.2.1 ou antérieur reçoivent le framework hérité Coruna ; les versions iOS 18.4 à 18.6 sont redirigées vers une chaîne dérivée de DarkSword. Le code est servi via des leurres web — sites de rencontre, plateformes de compagnons IA, promotions crypto, prévisualisations de streaming — qui chargent la charge en arrière-plan par des iframes masqués, sans téléchargement d'application ni interaction de l'utilisateur.

zLabs décrit trois vecteurs :

  1. Leurres web poussant parfois la victime à quitter le navigateur in-app pour ouvrir Safari.
  2. Sites légitimes compromis servant le kit via iframe caché (exemple cité : toongod[.]us, chargeant un jquery.min.js typosquatté depuis ajax[.]googleapls[.]com).
  3. Chaîne logicielle : des versions compromises du paquet npm art-template, documentées par SafeDep en mai 2026, ne nécessitent aucun domaine leurre.

Exfiltration confirmée

Sur un appareil de test en iOS 18.6.2, zLabs a confirmé l'exfiltration de la base Apple Notes (NoteStore.sqlite) et d'un inventaire de 214 applications installées. Les chercheurs ont observé 144 requêtes HTTPS POST vers le serveur de commande ccsigen321qc[.]com, toutes en HTTP 200, incluant la récupération de 7 modules JavaScript supplémentaires, dont un module d'extraction d'éléments d'authentification Telegram. Une seule CVE est nommée dans le corps du rapport, CVE-2022-48503 (WebAssembly dans Safari) ; zLabs renvoie à l'inventaire de CVE du GTIG pour le détail.

Attribution : prudence

Zimperium limite explicitement son attribution au code et à l'infrastructure, pas aux opérateurs. Coruna est décrit comme un outil développé à l'origine par un acteur étatique, puis diffusé, et désormais employé par plusieurs acteurs. Le GTIG de Google avait documenté Coruna plus tôt en 2026. Aucun groupe n'est désigné par une source fiable à ce stade — toute attribution opérationnelle serait prématurée.

IOCs

Publiés par Zimperium (dépôt github.com/Zimperium/IOC, répertoire 2026-10-CorunaDarkSword) :

Hôtes C2 :
  ccsigen321qc[.]com
  vrgrt4t33[.]com

Chemin local (iOS) :
  /private/var/tmp/c2_ipc

Marqueurs de chasse :
  hash du loader      cecd08aa6ff548c2
  namespace JS        globalThis.obChTK
  runtime décodé      29 924 octets (identique entre échantillons)

Que faire

  1. Maintenez iOS à jour. La chaîne Coruna cible des versions déjà corrigées (≤ 17.2.1) ; appliquer les mises à jour ferme cette porte.
  2. Activez le mode Isolement (Lockdown Mode) pour les profils à risque (dirigeants, journalistes, personnels sensibles).
  3. Auditez les scripts tiers de vos sites et imposez une CSP stricte — deux des trois vecteurs passent par du JavaScript injecté.
  4. Filtrez le web dans les navigateurs in-app et méfiez-vous des redirections poussant à « ouvrir dans Safari ».
  5. Conservez les journaux de diagnostic en cas d'anomalie et ingérez les IOCs ci-dessus.

Contexte

L'exploitation iOS par chaîne « zéro-clic » n'est plus réservée au spyware commercial haut de gamme : un framework d'origine étatique, une fois diffusé, se retrouve industrialisé sur des centaines de domaines grand public. Le schéma recoupe d'autres campagnes couvertes ici, comme les publicités zéro-clic de Candiru contre Al Jazeera. Le dénominateur commun reste le script tiers de confiance : c'est par lui que le code hostile atteint un iPhone à jour sur le reste.

Articles liés