دو کیت اکسپلویت (Exploit Kit) قدرتمند به نام‌های Coruna و DarkSword نشان می‌دهند که چگونه یک بازدید ساده از یک وب‌سایت مخرب یا هک‌شده می‌تواند دستگاه‌های آیفون با نسخه‌های قدیمی سیستم‌عامل را در معرض خطر جدی قرار دهد.
مکانیزم حمله و زنجیره اکسپلویت
این کیت‌ها با ترکیب چندین نقص نرم‌افزاری، قادرند از محیط مرورگر خارج شده و به بخش‌های عمیق‌تر سیستم‌عامل iOS دسترسی پیدا کنند. برخلاف حملات معمول، این ابزارها از یک Exploit Kit استفاده می‌کنند که ابتدا مدل دستگاه و نسخه سیستم‌عامل بازدیدکننده را شناسایی کرده و سپس کدی را که دقیقاً برای آن نسخه طراحی شده است، اجرا می‌کند.
فرآیند حمله معمولاً به شرح زیر است:
- ورود: مرورگر Safari یک صفحه مخرب یا محتوای پنهان در یک سایت آلوده را بارگذاری می‌کند.
- اجرای اولیه: از طریق آسیب‌پذیری‌های WebKit یا JavaScriptCore، کد مخرب در مرورگر اجرا می‌شود.
- فرار از Sandbox: از آنجایی که مرورگر در یک محیط محدود به نام Sandbox (سندباکس) اجرا می‌شود، این کیت‌ها از آسیب‌پذیری‌های اضافی برای شکستن این محدودیت‌ها استفاده می‌کنند.
- دسترسی سطح بالا: در مراحل نهایی، مهاجم می‌تواند به دسترسی در سطح Kernel (کرنل) دست یابد که کنترل گسترده‌ای بر کل دستگاه فراهم می‌کند.
نسخه‌های هدف و اثرات تخریبی
این دو کیت بازه‌های متفاوتی از iOS را هدف قرار می‌دهند:
- Coruna: شامل ۵ زنجیره اکسپلویت کامل و ۲۳ اکسپلویت است که نسخه‌های 13.0 تا 17.2.1 را هدف می‌گیرد.
- DarkSword: از یک زنجیره شش‌گانه برای هدف قرار دادن نسخه‌های 18.4 تا 18.7 استفاده می‌کند.
پس از تسخیر دستگاه، مهاجمان می‌توانند اطلاعات حساسی نظیر رمزهای عبور، پیام‌ها، تاریخچه مرورگر، اطلاعات مکان و محتویات کیف پول‌های ارز دیجیتال را سرقت کنند. تحلیل‌های جدیدتر روی نسخه P7 DarkSword نشان می‌دهد که این بدافزار قادر است داده‌های Keychain (کی‌چین) دستگاه را استخراج کرده و ارتباط دوطرفه با سرور مهاجم برقرار کند.
تکامل تهدید: از جاسوسی تا جرایم مالی
تاریخچه Coruna نشان‌دهنده تغییر ماهیت این ابزار است؛ این کیت ابتدا برای مشتریان نظارتی و جاسوسی علیه کاربران اوکراینی استفاده می‌شد، اما بعدها به دست گروه‌های مجرم مالی افتاد تا از طریق سایت‌های جعلی ارز دیجیتال، عبارت‌های بازیابی (Recovery Phrases) را از Apple Notes سرقت کنند.
از سوی دیگر، نشت کد منبع (Source Code) ابزار DarkSword در سال ۲۰۲۶ باعث شد تا مهاجمان دیگر بتوانند به راحتی آن را به دست آورده و تغییر دهند. گزارش‌ها حاکی از آن است که برخی مهاجمان اکنون از روش ورود DarkSword و ابزارهای سرقت کیف پول Coruna به صورت ترکیبی استفاده می‌کنند.
راهکارهای دفاعی و توصیه‌ها
برای مقابله با این تهدیدات، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری: نصب آخرین نسخه iOS موجود برای دستگاه، حیاتی‌ترین گام است زیرا اپل آسیب‌پذیری‌های مورد استفاده در این زنجیره‌ها را در آپدیت‌های جدید بسته است.
- فعال‌سازی Lockdown Mode: برای افرادی که در معرض ریسک بالایی هستند، این حالت امنیتی می‌تواند لایه‌ای اضافی از حفاظت را فراهم کند.
- هشیاری در ورود به حساب‌ها: از وارد کردن اطلاعات در صفحات مشکوک مالی یا ارز دیجیتال خودداری کنید.
- مدیریت سازمانی: سازمان‌ها باید نسخه‌های iOS دستگاه‌های کاری را رصد کرده و در صورت مشکوک شدن به آلودگی، فوراً دسترسی‌های مربوط به آن دستگاه را لغو و رمزهای عبور را از طریق یک دستگاه امن تغییر دهند.
