奔跑財(cái)經(jīng)3月6日消息，谷歌威脅分析組警告稱，一個(gè)被開(kāi)發(fā)者命名為"Coruna"的"新型且強(qiáng)大"的iOS漏洞工具包，已被部署在虛假金融和加密貨幣網(wǎng)站上，旨在誘騙iPhone用戶訪問(wèn)那些能夠靜默實(shí)施漏洞利用的頁(yè)面。

對(duì)于加密貨幣持有者而言，風(fēng)險(xiǎn)是直接的：GTIG的分析顯示，這些攻擊活動(dòng)的最終目標(biāo)是竊取常用移動(dòng)應(yīng)用中的助記詞和錢(qián)包數(shù)據(jù)。Coruna的目標(biāo)是運(yùn)行iOS 13.0至iOS 17.2.1版本的蘋(píng)果設(shè)備，其捆綁了五個(gè)完整的漏洞利用鏈和23個(gè)漏洞。

GTIG表示，在詐騙浪潮階段，他們觀察到Coruna背后的JavaScript框架被部署在"非常大量"的、主要以金融為主題的簡(jiǎn)體中文虛假網(wǎng)站上。GTIG引用了一個(gè)例子：一個(gè)假冒WEEX品牌的加密貨幣交易所頁(yè)面，試圖引導(dǎo)訪問(wèn)者使用iOS設(shè)備——之后會(huì)注入一個(gè)隱藏的iFrame，"無(wú)論用戶身處何地"，都會(huì)投遞漏洞利用工具包。

這種投遞機(jī)制之所以關(guān)鍵，是因?yàn)樗：藗鹘y(tǒng)釣魚(yú)攻擊與直接設(shè)備入侵之間的界限：根據(jù)GTIG的描述，只要使用存在漏洞的iPhone訪問(wèn)了設(shè)伏的頁(yè)面，就足以啟動(dòng)攻擊鏈。該框架會(huì)對(duì)設(shè)備進(jìn)行指紋識(shí)別，以確定型號(hào)和iOS版本，然后加載相應(yīng)的WebKit遠(yuǎn)程代碼執(zhí)行漏洞和指針認(rèn)證繞過(guò)。

在攻擊鏈的最后階段，GTIG稱Coruna會(huì)投放一個(gè)名為PlasmaLoader的加載器，并描述其重點(diǎn)不在于傳統(tǒng)的監(jiān)控功能，而在于竊取財(cái)務(wù)信息。

用戶現(xiàn)在可以做什么

谷歌表示，Coruna"對(duì)最新版本的iOS無(wú)效"，并敦促用戶進(jìn)行更新。如果無(wú)法更新，GTIG建議啟用蘋(píng)果的鎖定模式。GTIG還表示，已將被識(shí)別的網(wǎng)站和域名添加到谷歌安全瀏覽中，以幫助減少進(jìn)一步的暴露。

對(duì)于加密原生用戶而言，當(dāng)前的直接啟示是實(shí)用的：移動(dòng)錢(qián)包處于高價(jià)值資產(chǎn)與高頻網(wǎng)絡(luò)流量的交匯點(diǎn)，這使得"訪問(wèn)即入侵"類攻擊活動(dòng)具有獨(dú)特的危險(xiǎn)性。GTIG的報(bào)告表明，這個(gè)詐騙漏斗不僅僅是為了讓受害者連接錢(qián)包，更是為了讓他們使用特定設(shè)備、運(yùn)行特定iOS版本，以便漏洞利用能夠完成后續(xù)工作。