Phân tích bộ công cụ khai thác Coruna và DarkSword trên iOS

• Cơ chế tấn công: Coruna và DarkSword sử dụng chuỗi khai thác đa tầng để thoát khỏi sandbox của trình duyệt Safari, từ đó chiếm quyền truy cập cấp nhân (kernel-level).
• Phạm vi ảnh hưởng: Các thiết bị iOS từ phiên bản 13.0 đến 18.7 đều nằm trong tầm ngắm tùy thuộc vào bộ công cụ được sử dụng.
• Mục tiêu dữ liệu: Đánh cắp thông tin keychain, ví tiền điện tử, tin nhắn và lịch sử duyệt web mà không cần sự tương tác của người dùng.
• Khuyến nghị: Cập nhật iOS lên phiên bản mới nhất và kích hoạt Lockdown Mode để giảm thiểu rủi ro bị khai thác.

Các nhà nghiên cứu bảo mật vừa công bố báo cáo chi tiết về hai bộ công cụ khai thác (exploit kits) mạnh mẽ mang tên Coruna và DarkSword. Những công cụ này cho thấy khả năng xâm nhập toàn diện vào iPhone chỉ thông qua một lần truy cập vào các trang web đã bị thỏa hiệp hoặc chứa mã độc. Đây là một trong những mối đe dọa mạng nghiêm trọng nhất hiện nay đối với hệ sinh thái Apple.

Cơ chế hoạt động của Coruna và DarkSword

Khác với các trang web độc hại thông thường, Coruna và DarkSword hoạt động như một hệ thống tự động kiểm tra cấu hình thiết bị của nạn nhân. Khi người dùng truy cập vào trang web chứa mã độc, hệ thống sẽ xác định phiên bản iOS và dòng máy để cung cấp payload phù hợp. Quá trình này tận dụng các lỗ hổng trong WebKit hoặc JavaScriptCore để thực thi mã tùy ý ngay trong môi trường trình duyệt.

Điểm nguy hiểm nhất của các bộ công cụ này là khả năng liên kết nhiều lỗ hổng để thoát khỏi sandbox - khu vực bảo mật cô lập của trình duyệt. Sau khi thoát khỏi sandbox, mã độc sẽ leo thang đặc quyền để đạt tới cấp độ kernel, cho phép kẻ tấn công kiểm soát sâu rộng hệ thống mà không cần bất kỳ thao tác cài đặt ứng dụng hay xác nhận nào từ phía người dùng.

Chuỗi khai thác và mục tiêu dữ liệu

Coruna được ghi nhận chứa 5 chuỗi khai thác hoàn chỉnh với 23 lỗ hổng nhắm vào iOS 13.0 đến 17.2.1. Trong khi đó, DarkSword sử dụng chuỗi 6 lỗ hổng nhắm vào iOS 18.4 đến 18.7. Các biến thể mới như P7 DarkSword còn có khả năng thu thập dữ liệu keychain và ví tiền điện tử, đồng thời thiết lập kênh giao tiếp hai chiều với máy chủ C2 của kẻ tấn công.

Phân tích kỹ thuật và dấu hiệu nhận biết

Các nhà nghiên cứu từ iVerify đã chỉ ra rằng các biến thể như P7 DarkSword để lại những dấu vết kỹ thuật cụ thể trong hệ thống. Việc giám sát các tệp tin tạm thời và nhật ký hệ thống là chìa khóa để phát hiện sự xâm nhập.

# Kiểm tra các tệp tin artifact nghi vấn trên thiết bị bị nghi ngờ nhiễm mã độc: /private/var/tmp/keychain_c2_dump.json /private/var/tmp/p7_debug.log

⚠️ Cảnh báo quan trọng: Nếu phát hiện các tệp tin này, thiết bị cần được cách ly ngay lập tức. Mọi thông tin đăng nhập lưu trữ trên thiết bị phải được coi là đã bị lộ và cần thay đổi mật khẩu từ một thiết bị an toàn khác.

Khuyến nghị phòng thủ và giảm thiểu rủi ro

Để bảo vệ thiết bị khỏi các cuộc tấn công này, người dùng và tổ chức cần tuân thủ các quy tắc bảo mật nghiêm ngặt. Việc cập nhật phần mềm là ưu tiên hàng đầu, vì Apple liên tục vá các lỗ hổng được sử dụng trong các chuỗi khai thác này. Ngoài ra, việc sử dụng Lockdown Mode trên các thiết bị iOS có thể hạn chế đáng kể bề mặt tấn công của các trang web độc hại.

• Cập nhật hệ thống: Luôn cài đặt các bản vá bảo mật mới nhất từ Apple thông qua Settings > Software Update.
• Quản lý thiết bị: Các tổ chức cần theo dõi phiên bản iOS trên thiết bị làm việc và có quy trình cô lập thiết bị khi nghi ngờ bị xâm nhập.
• Cảnh giác: Tránh đăng nhập vào các trang web tài chính hoặc tiền điện tử không rõ nguồn gốc, ngay cả khi giao diện trông có vẻ đáng tin cậy.

Việc hiểu rõ cách thức hoạt động của các bộ công cụ như Coruna và DarkSword giúp các chuyên gia an ninh mạng xây dựng chiến lược phòng thủ chủ động hơn, từ việc giám sát mạng đến triển khai các chính sách bảo mật thiết bị đầu cuối hiệu quả.