Kit exploit iPhone Coruna, nuova minaccia per i wallet crypto

Nel nuovo rapporto di Google emerge come il kit exploit iPhone Coruna stia diventando uno strumento centrale negli attacchi mirati ai portafogli crypto conservati sugli smartphone.

Coruna, il framework di exploit che colpisce iOS 13 fino a iOS 17.2.1

Il team Threat Intelligence di Google ha analizzato un potente framework di attacco, battezzato Coruna, progettato per compromettere iPhone con versioni di sistema comprese tra iOS 13 e iOS 17.2.1. Secondo i ricercatori, il kit integra cinque catene di exploit complete e ben 23 vulnerabilità.

Questa architettura permette agli attaccanti di ottenere esecuzione di codice da remoto tramite contenuti web malevoli. In particolare, Coruna sfrutta falle nel motore browser WebKit di Apple e in altri componenti del sistema, combinandole in sequenze di exploit ad alta affidabilità.

Una volta che la potenziale vittima visita un sito compromesso, il framework esegue un fingerprinting accurato del dispositivo. Inoltre identifica il modello di iPhone e la versione esatta di iOS, così da selezionare automaticamente la catena di exploit più efficace per quell’ambiente specifico.

Come il kit exploit iPhone viene usato per sottrarre dati finanziari

Secondo Google, dopo l’intrusione iniziale Coruna può scaricare ulteriori payload mirati alla raccolta di dati sensibili. Tra questi rientrano informazioni su wallet di criptovalute e altri elementi legati alla sfera finanziaria dell’utente.

In alcune campagne osservate dai ricercatori, il framework è stato distribuito tramite falsi siti di gioco d’azzardo e piattaforme crypto, costruiti apposta per attirare utenti iPhone. Tuttavia, il meccanismo di compromissione rimane sempre centrato sulla navigazione web e sulle vulnerabilità di WebKit.

Una volta insediato sul dispositivo, il payload malevolo è in grado di analizzare immagini e file alla ricerca di parole chiave come “backup phrase” o “bank account”. In questo modo gli attaccanti possono individuare frasi di recupero, dati bancari e altre informazioni critiche, con il rischio concreto di prosciugare i fondi custoditi nei wallet.

Dalle operazioni di sorveglianza al cybercrime finanziario

Le indagini di Google mostrano che Coruna ha circolato tra più gruppi di minaccia nel corso dell’ultimo anno. Gli analisti sottolineano una chiara evoluzione d’uso del toolkit, che segue un percorso ormai noto nel mondo della sicurezza.

Il framework è stato individuato per la prima volta nel 2025 in operazioni di sorveglianza, riconducibili a contesti di intelligence. Successivamente è stato impiegato in attacchi watering-hole contro utenti ucraini, attribuiti a un gruppo di spionaggio sospettato di legami con la Russia.

Col passare dei mesi, lo stesso impianto di exploit è stato adottato anche da attori mossi da motivazioni puramente economiche. Inoltre alcune di queste attività sono state ricondotte a hacker associati alla Cina, a dimostrazione di una diffusione trasversale nel panorama delle minacce.

La migrazione dalle armi di sorveglianza al furto di criptovalute

Secondo diversi analisti di sicurezza, il caso Coruna rappresenta un esempio lampante di come exploit di livello spyware, inizialmente sviluppati o usati per attività di sorveglianza governativa o commerciale, finiscano poi nel più ampio ecosistema del cybercrime.

Rispetto al passato, in cui questi strumenti rimanevano confinati in scenari di intelligence, oggi tendono invece a migrare verso gruppi focalizzati sul profitto. Detto ciò, la particolare attenzione rivolta ai wallet crypto evidenzia la crescente intersezione tra minacce mobile e furti di asset digitali.

Questa dinamica aumenta il rischio per gli utenti che conservano frasi di recupero, seed o altre credenziali direttamente sullo smartphone. Inoltre il passaggio da operazioni di spionaggio a campagne di furto di fondi mostra un cambio di priorità negli attaccanti.

Raccomandazioni di sicurezza per gli utenti iPhone

I ricercatori di Google raccomandano di aggiornare costantemente i dispositivi alle versioni più recenti di iOS. Il kit di exploit analizzato non sarebbe infatti in grado di compromettere le release più nuove, che includono patch per le vulnerabilità sfruttate.

Gli esperti suggeriscono inoltre di evitare l’archiviazione di frasi di recupero o seed in chiaro nella galleria immagini o in file non cifrati. Inoltre è consigliabile usare password manager affidabili o supporti offline dedicati per custodire informazioni critiche legate ai portafogli digitali.

Infine, gli analisti invitano a prestare particolare attenzione ai siti di gioco online e alle piattaforme legate alle criptovalute visitate da iPhone. Nel complesso, il caso Coruna conferma come gli attacchi mirati ai wallet custoditi su smartphone stiano diventando una componente strutturale del rischio cyber legato agli asset digitali.