Kit de hacking para iPhone da Apple usado por espiões, esquemas de criptomoedas podem ter origem na inteligência dos EUA

Resumo

• O Google identificou um kit de exploração sofisticado para iOS chamado Coruna, contendo 23 exploits.
• O kit foi utilizado por suspeitos de espionagem russa e por golpistas chineses no setor de criptomoedas.
• A empresa de segurança iVerify afirma que pistas no código sugerem que pode ter origem num contratante de inteligência dos EUA.

O Grupo de Inteligência de Ameaças do Google (GTIG) descobriu um poderoso kit de hacking para iPhone capaz de infectar dispositivos quando um utilizador visita um site malicioso, o que significa que o malware pode ser transferido sem que nada seja clicado pelo alvo. A estrutura, chamada “Coruna”, inclui cinco cadeias completas de exploração para iOS e 23 vulnerabilidades que visam iPhones com iOS 13 a 17.2.1. Os investigadores disseram que alguns exploits usam técnicas inéditas para contornar as proteções de segurança da Apple.

O kit de exploração Coruna tem como alvo o iOS.

Coruna aproveita 23 exploits contra dispositivos Apple com iOS 13-17.2.1. Está a ser usado para espionagem e por atores motivados financeiramente para roubar criptomoedas.

Atualize os seus dispositivos iOS e saiba mais sobre esta ameaça: https://t.co/c7QRDPWMKI pic.twitter.com/l8rK9ZOLsw

— Mandiant (parte do Google Cloud) (@Mandiant) 3 de março de 2026

O GTIG identificou pela primeira vez partes do kit no início de 2025, numa cadeia de exploração usada por um cliente de um fornecedor de vigilância comercial não identificado. O código utilizava uma estrutura JavaScript que identificava o dispositivo para determinar o modelo de iPhone e a versão do sistema operativo antes de entregar um exploit personalizado. Mais tarde, essa mesma estrutura apareceu em sites ucranianos comprometidos em meados de 2025. O Google atribuiu essa campanha ao UNC6353, um grupo suspeito de espionagem russa, que usava iframes ocultos para direcionar seletivamente utilizadores de iPhone que visitavam esses sites. Mais tarde, no mesmo ano, os investigadores descobriram o kit novamente em centenas de sites em língua chinesa ligados a golpes de criptomoedas e finanças. Esses sites tentaram atrair vítimas para visitar usando dispositivos iOS antes de injetar o kit de exploração. O relatório afirmou que as vulnerabilidades usadas pelo Coruna já foram corrigidas em versões mais recentes do sistema operativo móvel da Apple e aconselhou os utilizadores a atualizarem os seus dispositivos. O kit de exploração não funciona nas versões mais recentes do iOS.

Origem possível dos EUA Embora o relatório do GTIG não identifique o cliente original do fornecedor de vigilância ou quem possa ter desenvolvido o kit, investigadores da empresa de segurança móvel iVerify disseram que elementos do código sugerem uma possível origem nos EUA.

“É altamente sofisticado, custou milhões de dólares a desenvolver, e apresenta características de outros módulos que foram publicamente atribuídos ao governo dos EUA,” afirmou Rocky Cole, cofundador da iVerify, ao WIRED. Ele acrescentou que este foi o primeiro exemplo descoberto pela empresa de “ferramentas muito provavelmente do governo dos EUA” sendo adotadas por adversários e grupos de cibercriminosos após “descontrolar-se”.  A iVerify estimou que cerca de 42.000 dispositivos foram comprometidos numa única campanha, após analisar o tráfego para servidores de comando e controlo ligados a sites de golpes em língua chinesa que distribuíam os exploits. O kit de exploração visa vulnerabilidades no motor de browser WebKit da Apple e inclui um carregador que implementa diferentes cadeias de exploração dependendo do modelo do dispositivo e da versão do sistema operativo. Os payloads estão encriptados, comprimidos e entregues num formato de ficheiro personalizado, concebido para evitar a deteção. “Os utilizadores de iPhone são fortemente aconselhados a atualizar os seus dispositivos para a versão mais recente do iOS,” afirmou o GTIG, acrescentando que o Modo de Bloqueio da Apple pode oferecer proteção adicional se a atualização não for possível.