Google tiết lộ lỗ hổng WebKit của Apple: Ảnh hưởng iOS 13~17.2.1, khoảng 4.2 vạn iPhone trở thành "máy rút tiền"

IT之家 ngày 4 tháng 3 đưa tin, Google hôm nay (ngày 4 tháng 3) đã đăng bài viết tiết lộ về bộ công cụ bẻ khóa iPhone mang mã hiệu Coruna, có thể ảnh hưởng đến các mẫu iPhone chạy iOS 13 đến 17.2.1, bằng chứng liên quan đã rơi vào tay các gián điệp nước ngoài và tội phạm mạng.

Google chỉ rõ bộ công cụ bẻ khóa này hiện chỉ hiệu quả trên các phiên bản iOS từ 13.0 (phát hành tháng 9 năm 2019) đến 17.2.1 (phát hành tháng 12 năm 2023), và Apple đã khắc phục trong phiên bản iOS 18.

Bộ công cụ Coruna gồm 5 chuỗi khai thác lỗ hổng iOS hoàn chỉnh, tổng cộng 23 lỗ hổng, với giá trị cốt lõi là tích hợp nhiều kỹ thuật khai thác lỗ hổng không công khai và các biện pháp vượt qua các biện pháp giảm thiểu.

IT之家 trích dẫn bài viết giới thiệu, kèm theo các phát hiện của nhóm tình báo mối đe dọa của Google (GTIG) như sau:

• Đầu năm 2025, lần đầu tiên phát hiện dấu vết của bộ công cụ này, khi nó được sử dụng để tấn công có mục tiêu;
• Vào mùa hè cùng năm, có bằng chứng cho thấy tổ chức gián điệp UNC6353 đã sử dụng bộ công cụ này để phát động “tấn công bẫy nước”, bằng cách cấy mã độc qua các iFrame bí mật trên các trang web bị xâm nhập;
• Cuối năm 2025, UNC6691 đã triển khai cùng một bộ công cụ trong các hoạt động quy mô lớn. Kẻ tấn công đã xây dựng hàng loạt trang web giả mạo liên quan đến giao dịch tài chính và tiền mã hóa, dụ người dùng truy cập bằng thiết bị iOS, qua đó khai thác lỗ hổng để trộm cắp tài sản.

Về mặt kiến trúc kỹ thuật, bộ công cụ Coruna sử dụng khung JavaScript để nhận dạng dấu vân tay thiết bị, sau đó tấn công khai thác lỗ hổng thực thi mã từ xa WebKit (RCE) và vượt qua xác thực chỉ mục (PAC).

Tải trọng cuối chuỗi tấn công mang tên “PlasmaLoader” (được GTIG theo dõi là PLASMAGRID), sẽ tiêm vào tiến trình hệ thống và quét các ứng dụng ví tiền mã hóa trên thiết bị (như MetaMask, Trust Wallet), để trộm các từ khóa ghi nhớ và khóa riêng.

Dữ liệu cho thấy, chỉ trong các cuộc tấn công vì mục đích lợi nhuận, đã có khoảng 42.000 thiết bị bị xâm nhập, được sử dụng để trộm tiền mã hóa và dữ liệu riêng tư. Phân tích mã cho thấy, phần cốt lõi của công cụ này rất chuyên nghiệp, dự đoán do một tác giả duy nhất phát triển.

Để đối phó với mối đe dọa này, Google đã thêm tất cả các trang web và tên miền liên quan vào danh sách chặn “Duyệt web an toàn”. GTIG nhấn mạnh rằng bộ công cụ Coruna không thể tấn công các phiên bản iOS mới nhất. Do đó, người dùng iPhone nên cập nhật thiết bị lên phiên bản iOS mới nhất để loại bỏ rủi ro.