Les experts du Google Threat Intelligence Group (GTIG) ont identifié un puissant kit d'exploitation qui peut être utilisé pour des attaques contre les utilisateurs iOS. La Corognec'est son nom, a déjà été exploité par des cybercriminels russes et chinois. Selon les chercheurs de la société Mountain View, il avait été vendu à un gouvernement, mais s'était retrouvé d'une manière ou d'une autre sur le marché de « l'occasion ».
La Corogne utilisée par le gouvernement américain ?
La Corogne est une collection de 23 exploits qui exploitent les vulnérabilités d'iOS de la version 13 à la version 17.2.1, les cibles sont donc les utilisateurs possédant des iPhones plus anciens et non évolutifs. Le GTIG a découvert les premières traces en février 2025, lorsqu'un client d'une société de surveillance a utilisé La Corogne pour exploiter le Vulnérabilité WebKit CVE-2024-23222 (corrigé par Apple avec iOS 17.3).
En juillet 2025, il a plutôt été utilisé par des cybercriminels russes pour injecter du code JavaScript dans un site ukrainien en exploitant le Vulnérabilité Safari CVE-2023-43000. La technique est connue sous le nom point d'eau et permet à des logiciels malveillants d'être installés sur l'iPhone lorsque l'utilisateur visite le site compromis.
Le même kit a finalement été utilisé par des cybercriminels chinois fin 2025 sur de faux sites de paris et de cryptomonnaies. Dans ce cas, les experts de Google ont identifié tous les exploits. Selon iVerify, Coruna a été vendue par une société qui développe des logiciels espions pour gouvernement américain. On ne sait pas comment il s’est retrouvé entre les mains de cybercriminels.
Le but des attaques menées contre Coruna n'est pas seulement de collecter des informations sensibles sur les iPhones, mais aussi voler des crypto-monnaies à partir de différents portefeuilles. Toutes les vulnérabilités ont été corrigées par Apple avec iOS 26, les utilisateurs doivent donc installer la dernière version du système d'exploitation (si possible).
Quand cela arrive, souviens-toi du cas Bleu éternel de 2017. Cet exploit pour Windows, développé par NSA (qui n'a pas signalé la vulnérabilité du protocole SMB à Microsoft), a été volé et publié en ligne par le groupe Shadow Brokers. L'exploit a ensuite été exploité pour de célèbres attaques de ransomware. WannaCry et NotPetya.
Voir l’article original en italien
