Um kit de exploração para iPhones identificado em março de 2026 revelou conexões mais profundas com uma das campanhas de espionagem móvel mais sofisticadas já registradas. Batizado de Coruna, o conjunto de ferramentas não foi desenvolvido do zero, mas sim construído a partir de uma versão atualizada da infraestrutura usada na Operação Triangulation, descoberta em 2023.
A conclusão veio após análises técnicas conduzidas por pesquisadores, que conseguiram examinar os componentes do kit enquanto seus links de distribuição ainda estavam ativos — algo raro nesse tipo de investigação. O Coruna foi inicialmente documentado por Google e pela iVerify, e rapidamente chamou atenção pela complexidade.
O kit é direcionado a dispositivos que utilizam o iOS entre as versões 13.0 e 17.2.1, e reúne cinco cadeias completas de exploração, somando 23 exploits. Entre eles estão vulnerabilidades críticas como CVE-2023-32434 e CVE-2023-38606, ambas já utilizadas anteriormente como zero-day na Operação Triangulation.
A Kaspersky aprofundou a investigação para entender se havia reaproveitamento direto de código. A análise confirmou que os exploits presentes no Coruna não são reimplementações independentes, mas sim versões modificadas do mesmo código utilizado na campanha original, indicando uma possível continuidade por parte dos mesmos desenvolvedores.
As alterações encontradas mostram que o kit continua em evolução. O código foi adaptado para suportar chips mais recentes da Apple, como A17 e a linha M3, além de incluir verificações para versões mais atuais do sistema. Um detalhe relevante é a presença de checagens específicas para versões do iOS que corrigiram vulnerabilidades exploradas anteriormente, sugerindo que os autores acompanharam de perto as atualizações de segurança e ajustaram suas ferramentas em resposta.
Além dos exploits herdados, o Coruna também incorpora novas vulnerabilidades não observadas na campanha anterior. Apesar disso, todos os componentes compartilham uma mesma base estrutural, reforçando a hipótese de autoria unificada.
O funcionamento do ataque segue uma cadeia bem definida. Tudo começa quando a vítima acessa um site comprometido via navegador Safari. Um componente inicial identifica o ambiente e seleciona automaticamente o exploit mais adequado. Em seguida, uma carga útil é executada, explorando falhas no kernel do sistema e abrindo caminho para o download de módulos adicionais.
Na etapa final, um componente responsável pela execução pós-exploração assume o controle, permitindo manipulação da memória do sistema, instalação do malware principal e remoção de rastros para dificultar análises forenses.
O uso do Coruna também evoluiu ao longo do tempo. Inicialmente associado a operações direcionadas de vigilância, o kit passou a ser utilizado em campanhas mais amplas, incluindo ataques do tipo watering hole e distribuição de malware por meio de sites falsos ligados a jogos e criptomoedas. Em alguns casos, foi relacionado a agentes estatais com interesses geopolíticos.
Especialistas alertam que a estrutura modular do Coruna facilita sua reutilização por diferentes grupos cibercriminosos, ampliando o risco de novos ataques. A principal recomendação segue sendo básica, mas essencial: manter dispositivos sempre atualizados com as últimas correções de segurança disponíveis.
