Coruna iOS 18'e ulaştı: DarkSword zinciriyle yeni dalga

Mart 2026'da Google Threat Intelligence Group (GTIG), Coruna adlı bir iOS exploit kit'ini ifşa ettiğinde rakamlar zaten ciddiydi: beş tam exploit chain, toplam 23 exploit ve hedefte iOS 13.0 ile 17.2.1 arasındaki iPhone'lar. O gün içimizi rahatlatan tek cümle, kit'in güncel iOS'ta çalışmadığıydı.

Aradan yedi ay geçti ve o cümle artık geçerli değil. Zimperium zLabs'in 29 Ekim'de yayımladığı rapora göre Coruna ailesi artık iOS 18.4 ile 18.7.2 arasını da hedefliyor ve bunu DarkSword adlı yeni bir chain ile yapıyor.

Ne değişti?

Zimperium, Ekim sonuna kadar Coruna ailesinden kod dağıtan 608 domain tespit etmiş. Bunların 93'ündeki konfigürasyon 21 farklı tracking sunucusuna bağlanıyor. Bu da karşımızda dağınık birkaç site yerine ortak altyapıyı paylaşan bir dağıtım ağı olduğunu gösteriyor.

Sitelerin yaptığı iş basit ama etkili. Önce cihazın fingerprint'ini alıyor, sonra iOS sürümüne göre hangi chain'i kullanacağına karar veriyor:

Raporda bir tutarsızlık da gözüme çarptı. Özet bölümü 17.2.1 ve öncesinden bahsederken teknik bölüm 17.0 ile 17.1.x aralığını veriyor ve rapor bu farkı açıklamıyor.

Mart'tan hatırlatma: Coruna neydi?

Teslimat, ele geçirilmiş ya da sahte sitelere gömülü gizli bir iframe üzerinden oluyor. Kullanıcının sadece sayfayı açması yetiyor, ekstra bir tıklama gerekmiyor. Kit önce cihazın gerçek olup olmadığını, modelini ve iOS sürümünü öğreniyor, ardından uygun WebKit RCE'yi ve PAC bypass'ı yüklüyor.

Son aşamadaki payload PlasmaLoader (Google'ın verdiği adla PLASMAGRID) ve Base, Bitget Wallet, Exodus, MetaMask gibi kripto cüzdan uygulamalarının verisini hedefliyor. GTIG'e göre kit'i Temmuz 2025'te Ukrayna sitelerinde Rusya bağlantılı olduğundan şüphelenilen UNC6353 kullandı. Aralık 2025'te ise sahnede finansal motivasyonlu ve Çin'den çalışan UNC6691 vardı. CISA da 5 Mart 2026'da CVE-2021-30952, CVE-2023-41974 ve CVE-2023-43000'i Known Exploited Vulnerabilities (KEV) kataloğuna ekledi.

DarkSword cihazda ne yapıyor?

Zimperium'un iOS 18.6.2 çalışan test cihazında gördükleri epey kapsamlı. DarkSword kernel belleğinde read/write yetkisi alıyor ve code signing (AMFI) durumunu değiştiriyor. Command and control trafiği HTTPS üzerinden gidiyor, ChaCha20 ile şifreleniyor ve certificate validation kapatılmış durumda.

İzlerini de temizliyor: WebKit diagnostic raporları, JetsamEvent kayıtları, launchd.log ve Safari site verileri siliniyor. Bunun yanında Telegram'ın local storage'ını parse edip authentication verisi arayan ayrı bir modül var. Test cihazından Apple Notes veritabanı (NoteStore.sqlite) dışarı çıkarılmış ve yüklü 214 uygulamanın envanteri alınmış.

Nereden bulaşıyor?

Raporlanan tuzakların çoğu insanların tıklamaya zaten meyilli olduğu yerler. Brezilya, Nijerya ve Endonezya şablonlarıyla hazırlanmış flört portalları ve yapay zekâ "arkadaş" platformları bunların başında geliyor. Kripto promosyonları, casino içerikleri ve medya yayın siteleri de listede.

Beni daha çok düşündüren kısım ise meşru siteler. Ele geçirilmiş normal siteler kit'i gizli bir iframe ile taşıyabiliyor, ele geçirilmiş bir npm paketi (art-template) ise loader'ı doğrudan bir sitenin kendi JavaScript'i üzerinden yüklemiş. TikTok'tan gelen "tarayıcıda aç" önizlemeli link'ler de dağıtım kanalları arasında.

Aynı gün ADEX de Coruna üzerine kurulu bir malvertising kampanyası raporladı. Kampanya yaklaşık 50 reklamveren hesabı üzerinden dönüyor, hedefinde yine iPhone ve iPad kullanıcıları, son durağında da finans ve blockchain uygulamaları var.

Ne biliyoruz, ne bilmiyoruz?

Doğrulanmış olanlar 608 domain, sürüme göre chain seçimi, iOS 18.4 ile 18.7.2 arasının hedeflenmesi, Telegram ve Notes verisinin peşine düşülmesi ve log'ların silinmesi.

Bilmediğimiz şeyler de az değil. Kaç cihazın ele geçirildiğini bilmiyoruz. DarkSword'un hangi CVE'leri kullandığının tam listesi de yok; Zimperium metnin gövdesinde yalnızca CVE-2022-48503'ten bahsediyor. Kit'i kimin geliştirdiği de belirsiz. TechCrunch'ın bir L3Harris birimini işaret eden haberi şimdilik bir iddia, doğrulanmış bir bulgu olarak görmüyorum.

Hemen yapılacaklar

1. iOS'u güncelleyin: Ayarlar › Genel › Yazılım Güncelleme. Bu kampanyaya karşı tek başına en etkili önlem bu.
2. Güncelleyemiyorsanız Kilitleme Modu'nu açın: Ayarlar › Gizlilik ve Güvenlik › Kilitleme Modu. GTIG'e göre Coruna, Kilitleme Modu açık cihazlarda ve gizli gezintide çalışmayı atlıyor.
3. Uygulama içi tarayıcıdan sizi Safari'ye yönlendiren "Safari'de aç" davetlerini alarm olarak görün. Önemli sitelere bookmark'tan ya da resmi uygulamadan girin.
4. Recovery phrase'leri, şifreleri ve backup kodlarını Notlar'dan çıkarıp bir password manager'a taşıyın.
5. Bir kurumdaysanız conditional access'te güncel iOS sürümünü zorunlu kılın, BYOD cihazları da kapsama alın ve web filtering'i uygulama içi tarayıcılara kadar genişletin.
6. Bir web sitesi yönetiyorsanız third-party script bağımlılıklarınızı denetleyin ve sıkı bir Content Security Policy uygulayın, çünkü art-template örneği sitenizin bu kit'i farkında olmadan taşıyabileceğini gösteriyor.