高度なiPhoneエクスプロイトチェーンであるCorunaとDarkSwordは、国家レベルおよび傭兵型のグループによる管理下から抜け出し、より一般的なサイバー犯罪者の手に渡り続けています。
国家レベルのグレードを持つマルウェアが、時折、政府による利用からサイバー犯罪者による採用へと移行することはあります。しかし、複雑なエクスプロイトチェーン全体、特にiOSを標的としたものが広く採用される事例はきわめて珍しいものです。ところが、昨春初めて確認されたこの現象は、今や本格的な勢いを増しているようです。iVerifyはこれまでに、CorunaとDarkSwordの第2世代版をホストするドメインを約17,000件追跡しており、今年初めの一般公開後も数ヶ月にわたって感染が続いています。
「わずか5分でiOSエクスプロイトチェーンを展開できてしまいます。……これは極めて危険であり、極めて拡散しやすいものです」と、iVerifyでリサーチ部門バイスプレジデントを務めるMatthias Frielingsdorf氏は述べています。
そして、サイバー犯罪者たちは改良を加え続けています。iVerifyがCorunaを公表した後、脅威アクターはこのフレームワークを改変したとFrielingsdorf氏は指摘します。iVerifyの研究者は、ジェイルブレイクおよび仮想化検知機能の強化、暗号化の改良、Telegramを狙ったインプラント、新たな永続化メカニズムなどを備えた新しい亜種を確認しています。
さらに興味深い、おそらくそれ以上に注目すべき点として、iVerifyとPalo Alto Networksはそれぞれ独立に、DarkSwordとCorunaという本来まったく別個のチェーンを、脅威アクターが標的に対して両方とも使用している様子を観測しました。あるブログ記事の中で、iVerifyの研究者はテレメトリおよび第三者による報告から、一部の脅威アクターが両方のフレームワークを採用している可能性が示唆されると述べており、場合によっては両プラットフォームの技術を組み合わせているように見えるケースもあるとしています。iVerifyはこれらのハイブリッド亜種を非公式に「Darkuna」と名付け、開発・公表から長い時間が経過した後も、運用者たちがフレームワークの改変を続けている実態を示すものだと指摘しました。
「これらの脅威アクターは、このバージョンで実にさまざまな変更を加えています」と研究者は説明し、これらの新しい亜種には更新されたプロセスインジェクションのターゲット、強化された解析対策機能、そして改変されたフレームワーク内の新たなインプラントが組み込まれていると付け加えています。
DarkSwordとCoruna:進化を続けるサイバー脅威
Google、iVerify、Lookoutはいずれも、複雑なエクスプロイトチェーンであるDarkSwordについて詳細を報告しています。これは2025年11月以降、iOS 18.4から18.7を実行するiPhoneに対して使用されてきました。複数の商用監視ベンダーおよび国家の支援を受けていると疑われるアクターに関連するキャンペーンで使用され、マレーシア、サウジアラビア、トルコ、ウクライナのユーザーが標的となりました。非常に高度なもので、複数の脆弱性を組み合わせて利用します。具体的には、JavaScriptCoreのメモリ破損の欠陥であるCVE-2025-31277およびCVE-2025-43529、dyldのユーザーモードポインタ認証コードのバイパスであるCVE-2026-20700、ANGLEのメモリ破損の欠陥であるCVE-2025-14174、iOSカーネルのメモリ管理の欠陥であるCVE-2025-43510、そしてiOSカーネルのメモリ破損バグであるCVE-2025-43520であり、これらに加えて複数のマルウェアファミリーが用いられています。攻撃者の狙いは、リモートコード実行(RCE)、サンドボックスエスケープ、権限昇格を達成し、最終的にペイロードを配信することにあります。Appleは4月にDarkSwordを修正しました。
一方Corunaは、iOS 13から17.2.1を標的とする、より成熟したエクスプロイトチェーンです。iVerifyがこのキットについて最初に論じたのはDarkSwordの少し前のことでしたが、そのツールセット自体は何年も前に開発されたものと考えられており、政府請負業者によって開発され、iOSデバイスを大量に標的とする目的でゼロデイブローカーに販売されたとみられています。Corunaは5つのエクスプロイトチェーンにわたって23件の脆弱性を展開しており、開発費は3,000万ドルから4,000万ドルに上るとみられています。Appleは、Corunaの基盤となっていた古い脆弱性を2023年および2024年に修正済みです。
このフレームワークは水飲み場型攻撃(watering-hole attack)を用いており、被害者は改ざんされたWebサイトを訪問することで、ブラウザのエクスプロイト、サンドボックスエスケープ、権限昇格の脆弱性を送り込まれます。Frielingsdorf氏によれば、侵害が成立すると、Corunaは専用のスパイウェアプロセスを実行するのではなく、電源デーモンや位置情報デーモンといった正規のシステムプロセスに自らのコードを注入するため、検知が一段と困難になるとのことです。コマンド・アンド・コントロール(C2)、アプリケーションの起動、プロセスインジェクション、データの持ち出し、暗号資産の窃取といった機能を備えています。
Frielingsdorf氏は先週、Black Hat USA 2026においてセッションを実施し、DarkSwordとCorunaの両方について深く掘り下げ、両エクスプロイトキットの最近の経緯を分析するとともに、両者が国家レベルのグレードを持つiOSエクスプロイトが組織的なサイバー犯罪に相当な規模で流出した初めての事例であると強調しました。例えば同氏は、Corunaのインフラの利用を中国の組織犯罪グループに結びつけ、DarkSwordの展開については世界各地の複数の運用者に関連付けています(DarkSwordのエクスプロイトチェーンの一部は、後にGitHub上にも出現しました)。つまり、これらは単一の政府やスパイウェア運用者に属するものではないということです。
「マルウェアの運用者と、そもそもそれを開発し販売している者との間には、大きな違いがあります」とFrielingsdorf氏は説明します。
同氏はまた、DarkSwordがキーチェーンの認証情報、Wi-Fiパスワード、iCloudデータ、写真やメモなど、「基本的にあらゆるもの」を盗み出すよう設計されていると述べています。しかし特に注目すべきは、DarkSwordのデータ窃取機能が暗号資産ウォレットも標的としている点であり、これは当初から金銭目的のサイバー犯罪者による利用が意図されていた可能性を示しています。
「こうした技術は爆発的に拡散しており、できるだけ多くのデバイスを標的にしようとしています」とFrielingsdorf氏は警告し、「今後、大規模なエクスプロイトがさらに増えていくことになるでしょう」と付け加えています。
