كشفت جوجل عن ثغرة في WebKit من أبل: تؤثر على iOS 13~17.2.1، حوالي 4.2 ألف جهاز iPhone تحولت إلى "صراف آلي"

موقع IT之家 في 4 مارس، أعلن جوجل اليوم (4 مارس) عن منشور يكشف فيه عن مجموعة أدوات كسر حماية iPhone المعروفة باسم Coruna، والتي يمكن أن تؤثر على طرازات iPhone التي تعمل بنظام iOS 13 إلى 17.2.1، وتشير الأدلة ذات الصلة إلى أنها قد دخلت أيدي جواسيس أجانب ومجرمي الإنترنت.

وأشار جوجل إلى أن مجموعة أدوات الكسر هذه فعالة حاليًا فقط على إصدار iOS 13.0 (الصادر في سبتمبر 2019) وحتى إصدار 17.2.1 (الصادر في ديسمبر 2023)، وقد قامت شركة أبل بإصلاح الثغرات في إصدار iOS 18.

تحتوي مجموعة أدوات Coruna على خمسة سلاسل استغلال كاملة لثغرات iOS، بإجمالي 23 استغلالًا، وتتمثل قيمتها الأساسية في دمج تقنيات استغلال ثغرات غير عامة ووسائل تجاوز التدابير الوقائية.

وأوردت IT之家، استنادًا إلى منشور جوجل، أن فريق التهديدات التابع لجوجل (GTIG) اكتشف الحالات التالية:

• في بداية عام 2025، تم لأول مرة اكتشاف أثر لهذه الأداة، حين استُخدمت لشن هجمات موجهة؛
• في صيف نفس العام، ظهرت أدلة على أن منظمة التجسس UNC6353 استغلت هذه الأداة في هجمات “الآبار المائية”، من خلال زرع إطار خفي (iFrame) على مواقع مخترقة لنشر رمز خبيث؛
• في نهاية عام 2025، قامت منظمة UNC6691 بنشر نفس الأداة في عمليات واسعة النطاق، حيث أنشأ المهاجمون العديد من المواقع الوهمية المتعلقة بالتمويل والمعاملات بالعملات المشفرة، بهدف إيهام المستخدمين باستخدام أجهزة iOS للوصول إليها، واستغلال الثغرات لسرقة الأصول.

أما من الناحية التقنية، فتستخدم مجموعة أدوات Coruna إطار عمل جافا سكريبت لتحديد بصمة الجهاز، تليها هجمات تتضمن استغلال ثغرات تنفيذ التعليمات البرمجية عن بُعد (RCE) في WebKit وتجاوز آلية التحقق من الهوية باستخدام رمز PAC.

أما الحمولة النهائية في سلسلة الهجمات فهي تسمى “PlasmaLoader” (المتابعة من قبل GTIG باسم PLASMAGRID)، والتي تقوم بحقن عمليات النظام ومسح تطبيقات محافظ العملات المشفرة على الجهاز (مثل MetaMask وTrust Wallet)، بهدف سرقة كلمات المساعدة والمفاتيح الخاصة.

تشير البيانات إلى أنه في هجمات تحقيق الأرباح فقط، تم اختراق حوالي 42 ألف جهاز، واستُخدمت في سرقة العملات المشفرة والبيانات الخاصة. وتحليل الشفرة يظهر أن برمجة الأداة الأساسية احترافية للغاية، ويُرجح أنها من تطوير مؤلف واحد.

وفي مواجهة هذا التهديد، أضافت جوجل جميع المواقع والنطاقات ذات الصلة إلى قائمة الحظر “التصفح الآمن”. وأكد فريق التهديدات أن مجموعة أدوات Coruna لا يمكنها اختراق أحدث إصدارات iOS، لذلك يجب على مستخدمي iPhone تحديث أجهزتهم فورًا إلى أحدث إصدار من iOS لتجنب المخاطر.