Coruña (kit de explotación) ⇐ Proyectos de artículos

[Anonymous]

'''Coruna''' es un sofisticado kit de explotación de iOS divulgado públicamente el 3 de marzo de 2026.
En 2025, Coruña fue observada por los investigadores de Google (Google) e iVerify en al menos tres campañas distintas: primero por un cliente anónimo de una empresa de vigilancia, luego en ataques de abrevadero contra objetivos ucranianos (Ucrania) atribuidos a UNC6353 (un presunto grupo de espionaje ruso) y, finalmente, en operaciones de robo de criptomonedas a gran escala por parte de UNC6691, un actor de amenazas con motivación financiera con sede en China. name=":0" /> Kaspersky Lab|El equipo de análisis e investigación global de Kaspersky (GReAT) confirmó posteriormente que dos exploits dentro del kit (con nombres en código internos Photon y Gallium) apuntan a las mismas vulnerabilidades explotadas como vulnerabilidad de día cero|días cero en la Operación Triangulación, una campaña descubierta en 2023 dirigida a iPhones en Rusia.
iVerify, que rastreó de forma independiente el kit bajo el nombre CryptoWaters, evaluó que Coruña compartía similitudes estructurales con marcos previamente atribuidos a actores de amenazas afiliados al gobierno de los Estados Unidos.
El kit de explotación no es eficaz contra las últimas versiones de iOS. Apple emitió avisos de seguridad y parches respaldados para versiones anteriores de iOS en respuesta a la divulgación.
== Antecedentes ==
Antes de Coruña, el ejemplo más destacado de proliferación de ciberherramientas ofensivas fue EternalBlue, un exploit de Microsoft Windows supuestamente desarrollado por la Agencia de Seguridad Nacional (NSA) de Estados Unidos. Fue filtrado por Shadow Brokers (The Shadow Brokers) en 2017 y luego utilizado en los ataques de ransomware WannaCry (ataque de ransomware WannaCry) y NotPetya. iVerify estableció explícitamente paralelos entre los dos casos.

La Operación Triangulación, descubierta por Kaspersky en 2023, fue una campaña independiente de amenaza persistente avanzada (APT). Implementó exploits sin hacer clic contra iPhones a través de iMessage. Los investigadores de Kaspersky presentaron sus hallazgos en el 37º Congreso de Comunicación del Caos (37C3). El gobierno ruso (Gobierno federal de Rusia) alegó en ese momento que la campaña fue dirigida por la inteligencia estadounidense, una afirmación que los funcionarios estadounidenses no confirmaron ni negaron.

== Descubrimiento y divulgación ==

=== Descubrimiento inicial ===
En febrero de 2025, Google TIG capturó partes de una cadena de exploits de iOS utilizada por un cliente de una empresa de vigilancia comercial anónima. Los exploits estaban integrados dentro de un marco de JavaScript nunca antes visto que empleaba técnicas de ofuscación distintivas. El marco comenzó tomando huellas dactilares del dispositivo de destino para determinar el modelo de iPhone y la versión de iOS antes de entregar el exploit de ejecución remota de código WebKit apropiado, seguido de una omisión del código de autenticación de puntero (PAC). En esta etapa, GTIG recuperó el WebKit RCE dirigido a iOS 17.2, que se identificó como CVE-2024-23222, una vulnerabilidad de confusión de tipos que Apple había parcheado en enero de 2024 con iOS 17.3.

=== Ataques a abrevaderos en Ucrania ===
A mediados de 2025, GTIG detectó el mismo marco JavaScript, que se cargó como un iFrame oculto en numerosos sitios web ucranianos comprometidos que abarcan sectores que incluyen equipos industriales, venta minorista, servicios locales y comercio electrónico. El marco sólo se entregó a usuarios seleccionados de iPhone desde una geolocalización específica. GTIG recopiló exploits adicionales de WebKit RCE (CVE-2022-48503 y CVE-2023-43000) antes de que el servidor (Servidor (informática)) fuera desactivado. La actividad se atribuyó a UNC6353, un presunto grupo de espionaje ruso. GTIG coordinó con CERT-UA para remediar los sitios comprometidos.

=== Campañas chinas contra el cibercrimen ===
A finales de 2025, GTIG identificó el marco JavaScript implementado en una gran red de sitios web chinos fraudulentos, principalmente relacionados con finanzas y criptomonedas. Estos incluían versiones falsas de intercambios de cifrado como WEEX, que mostraban ventanas emergentes que instaban a los visitantes a acceder a los sitios desde un iPhone o iPad. Al visitar desde un dispositivo iOS, un iFrame oculto inyectó el kit de explotación Coruña independientemente de la ubicación geográfica del visitante.

Esta campaña se atribuyó a UNC6691, un actor de amenazas chino con motivación financiera. Un error operativo cometido por los atacantes (implementando una versión de depuración del kit de exploits con código no ofuscado) permitió a los investigadores recuperar el conjunto completo de exploits junto con sus nombres en clave internos y confirmar el nombre interno "Coruña". iVerify descubrió de forma independiente la misma campaña y la rastreó bajo la designación CryptoWaters.

=== Divulgación pública ===
GTIG e iVerify publicaron sus hallazgos simultáneamente el 3 de marzo de 2026. Los informes fueron cubiertos por primera vez por Wired (revista)|Wired.
== Descripción técnica ==

=== Arquitectura y entrega ===
Coruna se entrega como un archivo HTML autónomo, normalmente denominado group.html o Analytics.html, integrado como un iFrame oculto de dimensión cero dentro de una página web. El exploit se ejecuta completamente en el navegador a través de JavaScript y no requiere interacción del usuario más allá de cargar la página.
Después de la toma de huellas digitales, el marco selecciona y entrega el exploit WebKit RCE apropiado, seguido de una omisión de PAC. Se utiliza una cookie codificada única para generar URL de recursos. Las cargas útiles binarias posteriores a la explotación se entregan desde URL|URL que terminan en .min.js, cifradas y comprimidas.

=== Explotar inventario ===
El kit contiene 23 exploits organizados en cinco cadenas completas que cubren desde iOS 13.0 hasta 17.2.1. Estos se dividen en varias categorías: exploits WebKit RCE (con nombre en código Buffout, Jacurutu, Bluebird, Terrorbird y Cassowary), omisiones de PAC (variantes Breezy y Seedbell), escapes de WebContent sandbox (IronLoader y NeuronLoader), exploits de escalada de privilegios del kernel (Neutron, Pendulum, Photon, Parallax y Gruber) y omisiones de PPL (Quark, Gallium, Carbone, Sparrow, y Cohete). Los exploits incluyen documentación extensa con comentarios escritos en inglés nativo.

Son notables los exploits Photon y Gallium (que explotan CVE-2023-32434 y CVE-2023-38606), que apuntan a las mismas vulnerabilidades utilizadas como día cero en la Operación Triangulación. El análisis de Kaspersky determinó que el exploit del kernel de Coruna para estas vulnerabilidades es una versión actualizada del mismo exploit utilizado en la campaña anterior, con soporte adicional para procesadores Apple más nuevos (A17, serie M (Apple silicio)|serie M3) y comprobaciones para iOS 17.2. El kit también incluye módulos reutilizables para evitar las mitigaciones que impiden la asignación de páginas de memoria de lectura, escritura y ejecución.

=== Carga útil maliciosa ===
La carga útil final de la campaña china consistió en un binario stager llamado PlasmaLoader, rastreado por GTIG como PLASMAGRID, que utiliza el identificador com.apple.assistd. El cargador se inyecta en powerd, un demonio que se ejecuta como root en iOS. La carga útil se centra en el robo financiero: podría decodificar códigos QR a partir de imágenes de dispositivos, escanear Apple Memos en busca de frases iniciales BIP-39 y palabras clave como “frase de respaldo” o “cuenta bancaria” e implementar módulos adicionales dirigidos a aplicaciones de billetera de criptomonedas.

Las aplicaciones de billetera específicas incluyeron MetaMask, Phantom, Exodus y más de una docena más. Cada módulo funcionaba colocando ganchos de función dentro de la aplicación de destino para filtrar las credenciales de la billetera y las frases iniciales. Los módulos contenían cadenas de registro escritas en chino, algunas de las cuales parecían ser generadas por un modelo de lenguaje grande basado en su estilo y uso de Emoji|emojis.

La comunicación de red utilizó HTTPS con datos cifrados a través de AES. El implante contenía dominios de comando y control codificados con un algoritmo de generación de dominio alternativo que utilizaba la cadena semilla "lazarus" para producir dominios predecibles de 15 caracteres con un dominio de nivel superior .xyz. iVerify también recuperó módulos dirigidos a iMessage (imagent) y WhatsApp que no estaban presentes en las muestras analizadas por Google.

== Atribución y orígenes ==
Se desconoce el origen de Coruña y el mecanismo por el cual cambió de manos entre diferentes actores de amenazas. GTIG enmarcó la proliferación como evidencia de un mercado secundario activo para herramientas de explotación, sin atribuir la creación del kit a una entidad específica.

iVerify fue más allá y destacó las similitudes estructurales del kit de exploits con marcos desarrollados previamente por actores de amenazas afiliados al gobierno de EE. UU. El cofundador de iVerify, Rocky Cole, declaró que la empresa creía que el marco tenía tales vínculos. La empresa comparó la situación con EternalBlue y señaló que esta es la primera explotación masiva observada de dispositivos iOS por parte de un grupo criminal que utiliza herramientas probablemente creadas por un estado-nación.

Kaspersky confirmó que el exploit del kernel de Coruna es una versión actualizada del mismo código base utilizado en la Operación Triangulación, construido sobre un marco de explotación común con código compartido entre múltiples componentes.

La especulación de los medios ha vinculado a Coruña con el caso de Peter Williams, ex gerente general de Trenchant, una división de L3Harris que desarrolla hazañas de día cero para el gobierno de Estados Unidos y los aliados de Five Eyes. Williams fue sentenciado en febrero de 2026 a 87 meses de prisión federal por robar ocho componentes de exploits de Trenchant entre 2022 y 2025 y venderlos a Operation Zero, un corredor de exploits ruso, a cambio de 1,3 millones de dólares en criptomonedas.
== Impacto ==
iVerify estimó que al menos 42.000 iPhones pueden haber sido comprometidos sólo en la ola de cibercrimen china, lo que la convierte en la primera campaña de explotación masiva conocida contra dispositivos iOS.
== Respuesta de Apple ==
Apple emitió un documento de soporte instando a los usuarios de versiones anteriores de iOS a actualizar, y señaló que los dispositivos completamente actualizados no se vieron afectados. La compañía respaldó parches para vulnerabilidades relacionadas con Coruña para IOS 15|iOS 15.8.7, IOS 16|iOS 16.7.15 y versiones relacionadas de iPadOS el 11 de marzo de 2026, extendiendo la protección a dispositivos que no podían ejecutar iOS 17 o más tarde. Para los dispositivos que aún tienen iOS 13 o 14, Apple recomendó actualizar a iOS 15 y prometió que seguiría una actualización de seguridad crítica. Apple también señaló que el modo de bloqueo y la función de navegación segura de Safari (navegador web)|Safari brindan protección adicional.

== Respuesta del gobierno ==
CISA agregó CVE-2021-30952, CVE-2023-41974 y CVE-2023-43000 a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 5 de marzo de 2026, con una fecha límite de reparación obligatoria del 26 de marzo de 2026 para las agencias civiles federales.

== Relación con DarkSword ==
Unas semanas después de la divulgación de Coruña, iVerify informó sobre un segundo kit de explotación llamado DarkSword dirigido a versiones más nuevas de iOS (IOS 18|18.4–18.7) y también implementado en ataques de abrevadero contra objetivos ucranianos por UNC6353. DarkSword explotó varias vulnerabilidades de día cero y parecía compartir linaje con la infraestructura de explotación de Coruña. Los avisos de seguridad de Apple abordaron ambos kits.
== Significado ==
Los analistas de ciberseguridad describen a La Coruña como un caso emblemático en la proliferación de capacidades cibernéticas ofensivas. La migración del kit del cliente de un proveedor de vigilancia a un grupo de espionaje respaldado por el estado y luego a ciberdelincuentes que realizan robos financieros a gran escala ilustró los peligros de un mercado secundario de herramientas de explotación. La filtración de EternalBlue ya ha demostrado este patrón para los sistemas operativos de escritorio. Coruña fue la primera en demostrarlo a escala para dispositivos móviles.

Este caso recuperó un viejo argumento: ¿deberían los gobiernos mantener en secreto los fallos del software para utilizarlos con fines de piratería informática, o deberían informarlos a las empresas de tecnología para que puedan corregirlos? Como señaló iVerify, cuando estas herramientas ingresan a los mercados secundarios, resulta casi imposible controlar quién las usa y con qué fines.

==Ver también==
* Operación Triangulación
* Azul Eterno
* Pegasus (software espía)
* Grupo OSN
* Software espía

Kits de herramientas de malware
Software espía
Explosiones de seguridad informática
Guerra cibernética
Vigilancia
Hacking (seguridad informática)
2026 en informática

More details: https://en.wikipedia.org/wiki/Coruna_(exploit_kit)