文章总结： 文档披露代号为Coruna的iOS漏洞利用框架遭泄露，从政府工具转为网络犯罪武器。该框架含23个漏洞通杀iOS13至17.2.1，被用于窃取加密货币。建议用户升级至iOS17.3以上、开启锁定模式或每日重启设备。事件重演了永恒之蓝的悲剧，揭示了网络武器扩散的巨大风险。
综合评分： 85
文章分类： 移动安全,漏洞分析,威胁情报,安全大事件,恶意软件
通杀iPhone的漏洞工具包遭泄露：美国政府级黑客工具流入黑市，你的苹果手机已成提款机！
OneMore SEC
2026年3月4日 12:47
北京
以下文章来源于网空闲话plus
，作者网空闲话
网空闲话plus
.
原《网空闲话》。主推网络空间安全情报分享，安全意识教育普及，安全文化建设培育。将陆续推出网安快讯、网安锐评、网安政策、谍影扫描、APT掠影、密码技术、OT安全等专集。
一套原本只为特定国家服务的iOS漏洞利用框架，如今正在网络犯罪分子手中疯狂敛财，从乌克兰的政府网站到某大国的虚假加密货币平台，无一幸免。
2026年3月，移动安全领域迎来了一场地震。安全研究机构iVerify与谷歌威胁情报小组（GTIG）几乎同时披露了一起震惊业界的重大安全事件：一套代号为“Coruna”的复杂iOS漏洞利用框架，已从政府客户手中泄露，并在过去一年中被多个不同背景的攻击者大规模使用。
这并非普通的黑客工具。Coruna框架包含了5条完整的iOS漏洞利用链，整合了23个独立漏洞，能够攻击从iOS 13到iOS 17.2.1之间几乎所有版本的iPhone设备。这意味着，过去近四年间生产的iPhone，在这套工具面前几乎门户大开。
01 解剖Coruna：这不是普通黑客能造出的武器
谷歌威胁情报小组通过对Coruna框架的深入逆向分析，揭示了一个令人不寒而栗的事实：这套工具的工程化水平极高。
框架内部采用了极为精密的模块化设计，每个漏洞利用模块都有清晰的代码命名——buffout、jacurutu、bluebird、terrorbird、cassowary……这些以鸟类命名的WebKit远程代码执行漏洞，覆盖了从iOS 13到iOS 17.2.1的完整版本区间。
更令人震惊的是，框架内部嵌入了“调试版本”，将漏洞的代码名称清晰地暴露在研究人员面前。Photon和Gallium这两个内核漏洞利用模块，与2023年卡巴斯基披露的“三角行动”（Operation Triangulation）中使用的零日漏洞完全一致——而那起攻击，此前被广泛归因于美国政府。
框架还包含了极为先进的绕过技术：能够检测设备是否开启了“锁定模式”（Lockdown Mode）或用户是否正在使用隐私浏览，一旦发现立即中止攻击；拥有针对指针认证码（PAC）的多种绕过方案；内核漏洞中嵌入了绕过内核级PAC的内部模块。
这是一套由国家行为体投入巨资研发、经过实战检验的顶级网络武器。
02 从政府工具到黑市商品：一次危险的扩散
Coruna的传播路径揭示了商业间谍软件市场的失控现状。
谷歌威胁情报小组的追踪显示，2025年2月，他们首次捕获到这套框架的部分组件——当时，一家商业监控供应商的客户正在使用它进行高度定向的监控行动。
仅仅几个月后，情况发生了变化。2025年夏季，同一个JavaScript框架出现在乌克兰大量被黑的网站上——从工业设备供应商到本地服务网站，无一幸免。这些网站的页面上被嵌入了一个隐藏的iFrame，加载来自cdn.uacounter[.]com的恶意代码，专门针对特定地理位置的iPhone用户发动攻击。谷歌与CERT-UA合作清理了所有被黑网站，并将其归因于一个疑似俄罗斯背景的间谍组织UNC6353。
故事的转折发生在2025年底。 谷歌研究人员在某大国境内发现了一大批虚假金融网站——伪造的加密货币交易平台、投资理财页面，它们都在试图诱导用户使用iOS设备访问。一旦用户上钩，同样的Coruna框架便会悄然启动。
这一次，攻击者不再关注用户的地理位置，不再区分目标是政府官员还是普通公民。任何使用iPhone访问这些网站的人，都成为了攻击目标。
03 当国家级武器遇上经济犯罪
iVerify的研究团队对Coruna框架的最终载荷进行了逆向工程，发现了一个令人不安的事实：这套工具的最后一步，不再是监控异见人士或窃取政府机密，而是直接盗窃加密货币。
框架最终会植入一个名为PlasmaLoader（谷歌追踪为PLASMAGRID）的加载器，使用com.apple.assistd作为标识符伪装成系统进程，并将自身注入到iOS中以root权限运行的守护进程powerd中。
植入的载荷具备以下能力：
- 扫描设备磁盘上的图片，解码其中的二维码
- 分析文本内容，搜索BIP39助记词序列（加密货币钱包恢复短语）
- 在Apple备忘录中查找“备份短语”、“银行账户”等关键词
- 针对至少19款主流加密货币钱包应用进行钩子注入
被针对的应用名单几乎覆盖了所有主流加密钱包：MetaMask、Phantom、Trust Wallet、Uniswap、Tonkeeper……研究人员的发现更为惊人：除WhatsApp之外的所有加密货币钱包都易受攻击。
更可怕的是，载荷内置了动态模块加载机制，可以从C2服务器获取并执行任意附加模块。通信数据经过AES加密，密钥来自静态字符串的SHA256哈希值。当C2服务器失效时，植入物会使用种子“lazarus”生成域名算法（DGA），预测生成15位的.xyz域名，并通过Google公共DNS验证域名活性。
代码中的中文日志字符串和表情符号，以及部分模块中出现的LLM生成风格注释，为攻击者的归属提供了线索，但更值得关注的是：这套工具的最终受害者，已经从“特定目标”变成了“任何拥有iPhone和加密货币的人”。
04 历史的重演：从EternalBlue到Coruna
对于关注网络安全历史的人来说，这一幕似曾相识。
2017年，美国国家安全局（NSA）开发的Windows漏洞利用工具EternalBlue（永恒之蓝）被黑客组织“影子经纪人”泄露。NSA明知这个零日漏洞的存在，却选择不向微软报告，而是在自己的网络行动中利用了它长达数年。
工具泄露后，微软紧急发布补丁，但为时已晚。两个月后，WannaCry勒索软件席卷全球，利用EternalBlue漏洞攻击未打补丁的系统，造成数十亿美元损失。六周后，同一框架被用于NotPetya攻击，再后来被整合进Retefe银行木马。
iVerify联合创始人Rocky Cole直言不讳： “这是EternalBlue事件的重演，只不过这次是在移动设备上。”
唯一不同的是，这一次的泄露渠道可能更为复杂。TechCrunch曾报道美国国防承包商L3Harris Trenchant前负责人Peter Williams的案件——他承认窃取了8个漏洞利用程序，卖给与俄罗斯政府有联系的中间人，被判七年监禁。检方称，他出售的漏洞能够入侵全球“数百万台计算机和设备”。
这是一个正在蓬勃发展的“二手零日漏洞市场”。 当监控技术公司为了利润将工具出售给越来越多的“合法”客户，当政府开发的武器级漏洞被内部人员窃取倒卖，最终买单的，是每一个普通用户的数字安全。
05 普通用户如何自保？答案令人无奈
面对如此复杂的攻击框架，普通用户该如何应对？
好消息是，苹果已经在后续版本中修复了Coruna框架利用的漏洞。iOS 17.3及以上版本的用户不受影响。 谷歌安全浏览已将所有识别到的恶意域名加入黑名单，保护用户免遭进一步利用。
但坏消息是，对于无法升级到最新系统的旧设备，风险依然存在。iVerify的建议坦诚得令人心酸：
“每天重启设备。”
这是因为大多数间谍软件攻击缺乏持久性——重启可以清除内存中的感染。但如果用户再次访问恶意网站，设备可能再次被感染。
对于依赖iPhone处理工作事务、存储敏感信息、管理加密资产的用户来说，这显然不是一个理想的解决方案。但正如安全专家所言：在没有完整移动安全框架的情况下，这可能是普通用户抵御高级恶意软件的最有效方法。
其他建议包括：
- 立即将设备更新至最新iOS版本（包含已知漏洞补丁）
- 在无法更新的设备上启用“锁定模式”（Lockdown Mode）
- 重置通过设备访问的所有在线服务密码
- 在所有重要账户上启用双因素认证
- 谨慎点击不明链接，警惕诱导访问的色情或加密货币网站
06 谁该为此负责？
Coruna事件引发了更深层次的拷问。
“帕尔马尔进程”（Pall Mall Process）——一个旨在规范间谍软件使用的国际自愿框架——正在缓慢推进。商业间谍软件供应商和购买它们的政府一再保证，这些技术只会用于反恐、打击犯罪，仅限于非专制政府使用。
但现实一再证明，一旦间谍软件或漏洞利用能力被售出，对最终用户的控制便随之丧失。
iVerify在其报告中直言不讳：“中间商不可信赖，间谍软件市场的企业间交易缺乏监管。使用范围越广，泄露的可能性就越大。”
谷歌在其分析报告中强调，他们一直积极参与帕尔马尔进程，致力于建立国际规范和框架，限制这些强大技术的滥用。但规范的形成需要时间，而漏洞的扩散却在加速。
最讽刺的是，正如iVerify所指出的：“虽然iVerify掌握了一些证据表明该工具是泄露的美国政府框架，但这不应掩盖这样一个事实：这些工具最终会流入市场，并被不法分子肆意利用。”
无论是哪个国家最初开发了这套武器级漏洞框架，今天，它已经落入网络犯罪分子手中，成为了窃取普通人加密货币的工具。
当政府用纳税人的钱打造网络武器，当商业公司为了利润将这些武器贩卖给任何出价者，当内部人员将国家机密卖给外国中间商——最终受害的，永远是最没有能力保护自己的普通用户。
你的iPhone里可能没有国家机密，但可能有你辛苦积攒的加密货币、你的银行账户信息、你的私密照片和对话。对于网络犯罪分子来说，这就足够了。
EternalBlue的历史告诉我们：政府级武器一旦泄露，其危害将持续数年，甚至数十年。 Coruna的故事才刚刚开始。
参考资源
1、https://cloud.google.com/blog/topics/threat-intelligence/coruna-powerful-ios-exploit-kit
2、https://iverify.io/press-releases/first-known-mass-ios-attack
3、https://techcrunch.com/2026/03/03/a-suite-of-government-hacking-tools-targeting-iphones-is-now-being-used-by-cybercriminals/
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：OneMore SEC 《通杀iPhone的漏洞工具包遭泄露：美国政府级黑客工具流入黑市，你的苹果手机已成提款机！》