侵害されたWebサイトや偽装サイトを1度訪れるだけで、高度なエクスプロイトキットが脆弱なiPhoneを乗っ取る可能性があります。
モバイルセキュリティアーキテクトのAkili Akridge氏は、ポッドキャスト「Packet Protector」で、CorunaとDarkSwordが、監視用途レベルの攻撃能力が犯罪者の手に渡ったことを示していると警告しました。また、アプリやネットワークトラフィックを軸にした企業の防御策では、感染を見逃す恐れがあると指摘しています。
GoogleのThreat Intelligence Group（脅威インテリジェンスグループ）は、23個のエクスプロイトを含む5つのCorunaエクスプロイトチェーンを確認しました。対象はiOS 13.0からiOS 17.2.1です。
iVerifyによるDarkSwordの分析では、iOS 18.4からiOS 18.6.2を狙うワンクリックのチェーンが見つかりました。
攻撃は、ユーザーが正規サイトの侵害されたページや、偽の金融系ページを開いたときに始まる場合があります。
悪意あるJavaScriptがSafariのWebKitエンジンを悪用し、その後ブラウザのサンドボックスからの脱出を試みます。さらに、オペレーティングシステムを通じて権限昇格を図ります。
DarkSwordについて研究者は、SafariのWebContentプロセスからGPUプロセスを経て、特権を持つシステムプロセスへと進み、最終的にカーネルへ到達する段階を確認しています。このチェーンは、メモリ上でインプラントを実行してデータを収集できます。
このアクセス権により、影響はブラウザ上の操作にとどまりません。DarkSwordのインプラントは、キーチェーンのデータ、Wi-Fiパスワード、メッセージ、位置情報の履歴、暗号資産ウォレットに関連するファイルなど、機密性の高い情報を収集するよう設計されていました。
組織にとっては、侵害されたスマートフォンから個人情報だけでなく、社内サービスへのアクセスに使う認証情報も流出するおそれがあります。
これらのキットの経緯は、強力なエクスプロイトツールが人手を渡り歩くことのリスクを物語っています。
Googleの追跡によると、Corunaは当初、監視ベンダーの顧客が使用していました。その後、ウクライナのユーザーを狙うロシアのスパイ活動の疑いがある作戦で使われ、さらに偽の金融系Webサイトを使った金銭目的の攻撃キャンペーンにも使われるようになりました。
iVerifyの研究者によると、CorunaとDarkSwordは、脆弱性とエクスプロイトの各段階を組み合わせてチェーン化したエクスプロイトキットです。
VulnerabilityScanning Service
iOS向けエクスプロイトキット
DarkSwordは、iVerifyがLookoutおよびGoogleと協力して公表しました。その後、ソースコードが公開されています。
研究者はその後、攻撃者がDarkSwordとCorunaを1つの展開環境にまとめて使っていると報告しました。「DarkCoruna」と呼ばれるこの手法では、1回のWebサイト訪問でより幅広いiOSバージョンを標的にできます。
iVerifyによると、同社の2026年9月のテレメトリでは、脆弱なデバイスに対するCorunaの現行および過去の攻撃が、計測対象デバイスの5%で見つかりました。8月は1.5%でした。
iOSを最新の状態に保つことは、重要な第一歩です。アップデートによって、これらのチェーンが悪用する脆弱性が修正されるためです。ただし、企業に必要な防御はパッチ適用済みの端末だけではありません。端末のソフトウェアの状態や侵害の有無が不明な場合は、特にそうです。
AppleのLockdownモード（ロックダウンモード）は、一部のWeb技術や機能を制限することで、攻撃にさらされる範囲を狭めます。
ただし、企業向けの万能な対策ではありません。Akridge氏が説明した攻撃経路を阻止するには、悪意あるページを読み込む前に有効にしておく必要があります。また、日常的な機能も制限されます。
Appleによると、Lockdownモードでは、一部のWebサイトが想定どおりに動作しない場合があります。ほとんどの種類のメッセージ添付ファイルはブロックされ、MDMへの登録もできません。すでに登録済みのデバイスは、引き続き管理されます。
Akridge氏の提言は、経営幹部の保護にとどまらず、全社の端末を可視化することが中心です。
組織は、各モバイルIDがどの社内リソースにアクセスできるかを評価し、アクセスを各役割に必要な範囲に絞る必要があります。あわせて、デバイスのテレメトリとともにIDの活動も監視すべきだとしています。
同氏はまた、すぐに配布できる貸出用スマートフォンを常備することも勧めています。侵害が疑われる端末を速やかに交換し、調査用に保全するためです。経営幹部の保護には、C-suiteだけでなく、グローバル管理者やCISOも含めるべきだと述べています。
検知には技術的な難しさがあります。正規プロセスの内部で動作するカーネルレベルのインプラントは、アプリ層の監視をすり抜ける可能性があります。また、自らの痕跡を消す短命な感染では、定期的なチェックで見つかる手がかりがほとんど残りません。
最初のWebサイトへの接続も、通常のHTTPS通信と見分けがつかない場合があります。
CompareBroadband
そのためAkridge氏は、防御側に対し、継続的で低レベルのモバイルテレメトリと、モバイルEDR型の検知を活用するよう促しています。あわせて、規律あるインシデント対応も欠かせないとしています。
MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。
翻訳元: https://gbhackers.com/ios-exploit-kits/
