Kit de piratage d'iPhone Apple utilisé par des espions, les escroqueries cryptographiques pourraient avoir des origines du renseignement américain

En résumé

• Google a identifié un kit d’exploitation iOS sophistiqué appelé Coruna, contenant 23 exploits.
• L’outil a été utilisé par des espions russes présumés et des escrocs chinois spécialisés dans la crypto.
• La société de sécurité iVerify indique que des indices dans le code suggèrent qu’il pourrait provenir d’un contractant de renseignement américain.

Le groupe d’intelligence des menaces de Google (GTIG) a découvert un puissant kit de piratage pour iPhone capable d’infecter les appareils lorsqu’un utilisateur visite un site web malveillant, ce qui signifie que le malware peut être transféré sans que rien ne soit cliqué par la cible. Le cadre, nommé « Coruna », comprend cinq chaînes d’exploitation iOS complètes et 23 vulnérabilités ciblant les iPhones fonctionnant sous iOS 13 à 17.2.1. Les chercheurs ont indiqué que certains exploits utilisent des techniques inédites pour contourner les protections de sécurité d’Apple.

Le kit d’exploitation Coruna cible iOS.

Coruna exploite 23 vulnérabilités sur les appareils Apple fonctionnant sous iOS 13-17.2.1. Il est utilisé pour l’espionnage, et par des acteurs motivés financièrement pour voler de la crypto.

Mettez à jour vos appareils iOS et en savoir plus sur cette menace : https://t.co/c7QRDPWMKI pic.twitter.com/l8rK9ZOLsw

— Mandiant (faisant partie de Google Cloud) (@Mandiant) 3 mars 2026

GTIG a d’abord identifié des parties de l’outil début 2025 dans une chaîne d’exploitation utilisée par un client d’un fournisseur de surveillance commercial non nommé. Le code utilisait un cadre JavaScript qui identifiait les appareils pour déterminer le modèle d’iPhone et la version du système d’exploitation avant de livrer un exploit personnalisé. Ce même cadre est apparu plus tard sur des sites ukrainiens compromis à la mi-2025. Google a attribué cette campagne à UNC6353, un groupe d’espionnage russe suspecté, qui utilisait des iframes cachés pour cibler sélectivement les utilisateurs d’iPhone visitant ces sites. Plus tard dans l’année, les chercheurs ont découvert à nouveau l’outil sur des centaines de sites en langue chinoise liés à des escroqueries en crypto et en finance. Ces sites tentaient d’attirer les victimes à visiter en utilisant des appareils iOS avant d’injecter le kit d’exploitation. Le rapport indique que les vulnérabilités exploitées par Coruna ont depuis été corrigées dans les versions plus récentes du système d’exploitation mobile d’Apple et exhorte les utilisateurs à mettre à jour leurs appareils. Le kit d’exploitation ne fonctionne pas contre les versions les plus récentes d’iOS. Origines possibles américaines Bien que le rapport de GITG n’identifie pas le client fournisseur de surveillance initial ou qui aurait pu développer le kit, des chercheurs de la société de sécurité mobile iVerify ont indiqué que certains éléments du code suggèrent une origine potentiellement américaine.

« C’est très sophistiqué, cela a coûté des millions de dollars à développer, et il porte les marques d’autres modules qui ont été publiquement attribués au gouvernement américain », a déclaré Rocky Cole, co-fondateur d’iVerify, à WIRED. Il a ajouté que c’était le premier exemple découvert par la société de « très probablement des outils du gouvernement américain » adoptés par des adversaires et des groupes de cybercriminels après avoir « échappé à tout contrôle ».  iVerify a estimé qu’environ 42 000 appareils dans une seule campagne avaient été compromis après avoir analysé le trafic vers des serveurs de commande et de contrôle liés à des sites d’escroquerie en langue chinoise distribuant les exploits. Le kit cible des vulnérabilités dans le moteur de navigateur WebKit d’Apple et comprend un chargeur qui déploie différentes chaînes d’exploitation selon le modèle d’appareil et la version du système d’exploitation. Les charges utiles sont chiffrées, compressées et livrées dans un format de fichier personnalisé conçu pour échapper à la détection. « Il est fortement conseillé aux utilisateurs d’iPhone de mettre à jour leurs appareils vers la dernière version d’iOS », a déclaré GTIG, ajoutant que le mode Lockdown d’Apple peut offrir une protection supplémentaire si la mise à jour n’est pas possible.