Coruna und DarkSword: Fortschrittliche iOS-Exploits gelangen in die Hände von Cyberkriminellen

Exploit-Ketten werden zu Werkzeugen der organisierten Kriminalität

Die iOS-Exploit-Ketten Coruna und DarkSword, die ursprünglich mit staatlichen Akteuren und Anbietern kommerzieller Überwachung in Verbindung standen, verbreiten sich zunehmend auch unter gewöhnlichen Cyberkriminellen.

iVerify hat rund 17.000 Domains identifiziert, die mit zweiten Generationen der beiden Plattformen in Verbindung stehen. Die Verbreitung kann äußerst schnell erfolgen: Eine vollständige iOS-Kette soll sich in etwa fünf Minuten installieren lassen.

Die Infektionen gingen auch nach der öffentlichen Offenlegung der Techniken weiter. Die Betreiber aktualisierten ihre Frameworks mit verbesserten Mechanismen zur Erkennung von Jailbreaks und virtualisierten Umgebungen, robusterer Verschlüsselung, neuen Persistenzmechanismen sowie Implantaten mit Fokus auf Telegram.

iVerify und Palo Alto Networks beobachteten zudem den kombinierten Einsatz von Coruna und DarkSword. Die informell als Darkuna bezeichneten Hybridvarianten führen neue Ziele für die Prozessinjektion, fortschrittlichere Anti-Analyse-Maßnahmen und zusätzliche Implantate ein.

DarkSword nutzt mehrere Schwachstellen in Apples Systemen aus

DarkSword wurde seit November 2025 gegen iPhones mit iOS 18.4–18.7 eingesetzt. Die Kampagnen betrafen Malaysia, Saudi-Arabien, die Türkei und die Ukraine. Sie wurden mit mehreren Anbietern kommerzieller Überwachung sowie mutmaßlich staatlich unterstützten Akteuren in Verbindung gebracht.

Die Kette kombiniert Schwachstellen in Browser, Grafikbibliotheken, Loader und Kernel:

• CVE-2025-31277 und CVE-2025-43529, die eine Speicherbeschädigung in JavaScriptCore ermöglichen;
• CVE-2026-20700, die die Pointer Authentication im User-Space von dyld umgeht;
• CVE-2025-14174, eine Schwachstelle zur Speicherbeschädigung in ANGLE;
• CVE-2025-43510 und CVE-2025-43520, die mit der Speicherverwaltung und -beschädigung im iOS-Kernel zusammenhängen.

Ziel ist eine vollständige Angriffskette: Remote-Codeausführung, Ausbruch aus der Sandbox, Rechteausweitung und Installation der Payload. Apple hat die von DarkSword ausgenutzten Schwachstellen im April behoben; die genauen Patch-Versionen sind nicht bekannt.

Coruna nutzt Watering-Hole-Angriffe und Injektionen in Systemprozesse

Coruna ist eine ältere und ausgereiftere Plattform, die für Geräte mit iOS 13–17.2.1 entwickelt wurde. Sie umfasst 23 Schwachstellen, die in fünf Exploit-Ketten organisiert sind. Die Entwicklungskosten werden auf 30 bis 40 Millionen US-Dollar geschätzt.

Das Toolkit setzt auf Watering-Hole-Angriffe: Der Nutzer besucht eine kompromittierte Website, die versucht, den Browser auszunutzen, und anschließend die Sandbox-Evasion sowie die Rechteausweitung durchführt.

Nach der Kompromittierung kann Coruna Code in legitime Systemprozesse injizieren, darunter den Power-Daemon und den Location-Daemon. Dadurch kann es schwieriger werden, bösartige Aktivitäten von normalen iOS-Komponenten zu unterscheiden.

Die historischen Schwachstellen hinter Coruna wurden von Apple in den Jahren 2023 und 2024 behoben. Nicht alle Kennungen oder die genauen Versionen der Korrekturen wurden veröffentlicht.

Was Nutzer und Organisationen tun sollten

Die wichtigste Maßnahme besteht darin, alle relevanten Apple-Patches zu installieren und die Geräte stets aktuell zu halten. Dies ist besonders wichtig für iPhones mit Betriebssystemversionen, die in den von den beiden Ketten angegriffenen Bereichen liegen.

Organisationen sollten außerdem:

• Domains überwachen, die mit der Verbreitung der zweiten Generationen in Verbindung stehen;
• nach Anzeichen für Jailbreaks oder ungewöhnliche Virtualisierung suchen;
• unerwartete Persistenzmechanismen überprüfen;
• Code-Injektionen in Systemprozesse analysieren;
• Datenverkehr und Implantate mit auf Telegram ausgerichteten Funktionen untersuchen.

Die Verfügbarkeit vollständiger Exploit-Ketten senkt die erforderlichen Kenntnisse für fortschrittliche Angriffe drastisch. Das Risiko betrifft nicht mehr nur staatliche Ziele oder gezielt überwachte Personen: Coruna, DarkSword und die Darkuna-Varianten können Remote-Kompromittierungen, Überwachung und die Installation weiterer Malware in deutlich größerem Umfang ermöglichen.