Sebuah framework eksploitasi iOS bernama Coruna, yang sebelumnya diduga dikembangkan untuk operasi pengawasan pemerintah, kembali muncul dalam kampanye kejahatan siber. Alat ini digunakan untuk menguras dompet kripto dan mencuri data pengguna iPhone.
Google Threat Intelligence Group dan firma keamanan mobile iVerify mengungkapkan temuan ini. Analisis teknis menunjukkan bahwa Coruna memiliki lima rantai eksploitasi lengkap dan 23 celah keamanan iOS, yang mampu menembus pertahanan Apple pada iOS 13 hingga 17.2.1.
Dengan teknik tersebut, halaman web dapat menjadi pintu masuk infeksi tersembunyi pada perangkat yang belum diperbarui. Hal tersebut dikutip detikINET dari Techspot, Kamis (5/3/2026).
Eksploitasi ini menargetkan mesin browser WebKit milik Apple. Serangan dimulai dengan skrip JavaScript yang mengidentifikasi model perangkat dan versi sistem operasi, kemudian memilih rantai eksploitasi untuk meningkatkan akses hingga level kernel. Komponen loader kemudian dipasang dengan hak akses root.
Google pertama kali menemukan fragmen Coruna pada Februari tahun lalu dalam operasi pengawasan oleh klien perusahaan surveillance. Pada Juli, versi lebih lengkap muncul dalam operasi spionase yang dikaitkan dengan kelompok intelijen Rusia. Eksploit disisipkan dalam widget penghitung pengunjung di situs Ukraina untuk menargetkan pengguna tertentu berdasarkan lokasi.
Coruna belakangan digunakan dalam kampanye massal di situs kripto dan perjudian berbahasa Mandarin. Berdasarkan analisis koneksi ke server command-and-control, iVerify memperkirakan sekitar 42.000 perangkat terinfeksi dalam salah satu operasi kriminal tersebut.
Kode Coruna disebut memiliki kemiripan dengan operasi "Triangulation" yang terungkap pada 2023 dan sempat dikaitkan otoritas Rusia dengan Badan Keamanan Nasional AS (NSA), meski pemerintah AS tak pernah memberi komentar resmi.
Menurut iVerify, framework utamanya tampak sangat rapi dan terstruktur, sementara modul pencurian kripto yang ditambahkan kemudian terlihat lebih kasar. Hal ini menimbulkan dugaan bahwa platform eksploitasi canggih tersebut kemungkinan berpindah tangan melalui pasar broker zero-day sebelum akhirnya digunakan kelompok negara dan pelaku kejahatan siber.
Meskipun Apple telah menambal celah yang diketahui, Google memperingatkan bahwa teknik dasar dalam Coruna berpotensi diadaptasi ulang oleh berbagai pihak untuk mengeksploitasi bug baru di masa depan.
