قال باحثو التهديدات في Google إنهم اكتشفوا حزمة استغلال جديدة تستهدف مستخدمي iPhone، وتهدف إلى سرقة عبارات الاسترداد (Seed Phrases) لمحافظ العملات المشفرة.
وتستهدف الحزمة، التي أطلق مطوروها اسم “Coruna” عليها، أجهزة iPhone التي تعمل بإصدارات iOS من 13.0 حتى 17.2.1. وذكر فريق Google Threat Intelligence Group المُرمز (GTIG) في تقرير نُشر يوم الأربعاء أنها تحتوي على خمسة سلاسل استغلال كاملة لنظام iOS وما مجموعه 23 ثغرة، بما في ذلك ثغرات لم تكن معروفة سابقًا للعامة.
وأوضح الفريق أنه اكتشف الحزمة لأول مرة في فبراير 2025، وتتبع لاحقًا استخدامها من قبل مجموعة تجسس يُشتبه بأنها روسية استهدفت مستخدمين في أوكرانيا، قبل أن تظهر لاحقًا على مواقع صينية مزيفة مرتبطة بالعملات المشفرة تهدف إلى سرقة الأصول الرقمية.
وأشار GTIG إلى أن الحزمة لا تعمل على أحدث إصدار من iOS، داعيًا مستخدمي iPhone إلى تحديث أجهزتهم إلى أحدث نسخة من النظام. وإذا لم يكن ذلك ممكنًا، نصح بوضع الهاتف في وضع Lockdown Mode، وهو وضع أمني تقول Apple إنه قادر على مواجهة الهجمات المتقدمة.
استهداف مستخدمي الكريبتو عبر مواقع مزيفة
قال فريق GTIG إنه عثر في فبراير 2025 على أجزاء من استغلال لنظام iOS استخدم فيه أحد عملاء شركة مراقبة JavaScript لتحديد خصائص الجهاز وتقديم الاستغلال المناسب.
وفي وقت لاحق من العام نفسه، عثر الباحثون على نفس إطار JavaScript مخفيًا داخل عدة مواقع أوكرانية مخترقة، وكان يتم تسليمه فقط لمستخدمي iPhone في مواقع جغرافية محددة.
وفي ديسمبر، اكتشف الفريق الإطار نفسه على عدد كبير من المواقع الصينية المزيفة المرتبطة بالقطاع المالي، بما في ذلك موقع ينتحل صفة منصة تداول العملات المشفرة WEEX.
وعند دخول المستخدم إلى هذه المواقع عبر جهاز يعمل بنظام iOS، يقوم الإطار بتشغيل حزمة الاستغلال التي تبحث عن معلومات مالية، بما في ذلك تحليل الرسائل النصية التي تحتوي على عبارات الاسترداد أو كلمات مفتاحية مثل “backup phrase” أو “bank account”.
كما تستهدف الحزمة تطبيقات كريبتو شائعة مثل Uniswap و MetaMask لاستخراج العملات المشفرة أو المعلومات الحساسة.
جدل حول أصل الحزمة الاستخباراتي
لم يذكر فريق GTIG اسم العميل التابع لشركة المراقبة الذي يُعتقد أن حزمة الاستغلال نشأت لديه، لكن شركة أمن الهواتف iVerify قالت لمجلة WIRED إنه قد يكون تم تطويرها أو شراؤها من قبل الحكومة الأميركية.
وقال روكي كول، الشريك المؤسس لشركة iVerify:
“هذه أداة متطورة للغاية، وقد كلف تطويرها ملايين الدولارات، وتحمل سمات وحدات أخرى نُسبت علنًا إلى الحكومة الأميركية.”
وأضاف:
“هذه أول مرة نرى فيها أدوات يُرجح أنها تابعة للحكومة الأميركية وفقًا لما يشير إليه الكود تخرج عن السيطرة ويتم استخدامها من قبل خصومنا وكذلك مجموعات الجرائم الإلكترونية.”
في المقابل، قال الباحث الأمني الرئيسي في شركة Kaspersky لصحيفة The Register إن الشركة لم تجد أي دليل على إعادة استخدام الكود في التقارير المنشورة يدعم نسب حزمة Coruna إلى الجهة نفسها.
