Phân tích chi tiết bộ công cụ khai thác Coruna và DarkSword nhắm vào hệ điều hành iOS

Các nhà nghiên cứu bảo mật vừa công bố báo cáo chi tiết về hai bộ công cụ khai thác mạnh mẽ mang tên Coruna và DarkSword, cho thấy khả năng xâm nhập toàn diện vào thiết bị iPhone chỉ thông qua một lần truy cập trang web độc hại.

Phương thức hoạt động của Coruna và DarkSword

Khác với các trang web mã độc thông thường, Coruna và DarkSword hoạt động dưới dạng hệ thống tự động kiểm tra cấu hình thiết bị của nạn nhân. Khi người dùng truy cập vào các trang web chứa mã độc, hệ thống này sẽ tự động nhận diện phiên bản hệ điều hành iOS và dòng máy để lựa chọn payload phù hợp. Quá trình này khai thác các điểm yếu trong WebKit hoặc JavaScriptCore nhằm thực thi mã tùy ý ngay bên trong môi trường trình duyệt.

Khả năng vượt qua các lớp bảo mật

Mối đe dọa lớn nhất từ các bộ công cụ này nằm ở khả năng kết hợp nhiều lỗ hổng để vượt qua vùng bảo mật cô lập sandbox của trình duyệt. Ngay sau khi thoát khỏi sandbox, mã độc sẽ thực hiện leo thang đặc quyền để đạt tới cấp độ kernel của hệ thống. Điều này cho phép kẻ xấu kiểm soát sâu rộng thiết bị mà không đòi hỏi bất kỳ thao tác cài đặt hay sự xác nhận nào từ phía người dùng.

Quy mô và biến thể của mã độc

Theo ghi nhận, Coruna sở hữu 5 chuỗi khai thác hoàn chỉnh bao gồm 23 lỗ hổng nhắm vào các dòng máy chạy iOS từ phiên bản 13.0 đến 17.2.1. Trái lại, DarkSword sử dụng chuỗi 6 lỗ hổng nhắm vào các phiên bản iOS từ 18.4 đến 18.7. Các biến thể mới xuất hiện như P7 DarkSword còn tích hợp khả năng thu thập dữ liệu từ keychain và ví tiền điện tử, đồng thời duy trì kết nối hai chiều với máy chủ điều khiển C2 của kẻ tấn công.

Biện pháp phát hiện và ứng phó

Các chuyên gia từ iVerify đã chỉ ra rằng những biến thể như P7 DarkSword thường để lại các dấu vết kỹ thuật đặc thù trong hệ thống. Việc theo dõi sát sao các tập tin tạm thời cùng nhật ký hệ thống chính là chìa khóa để nhận diện kịp thời hành vi xâm nhập. Trong trường hợp phát hiện các dấu hiệu bất thường, thiết bị cần được ngắt kết nối và cách ly ngay lập tức. Toàn bộ thông tin đăng nhập trên máy phải được xem như đã bị rò rỉ, đòi hỏi người dùng đổi mật khẩu từ một thiết bị khác đảm bảo an toàn.

Khuyến nghị phòng thủ

Để bảo vệ thiết bị trước nguy cơ tấn công từ các bộ công cụ này, người dùng cá nhân cũng như các tổ chức cần tuân thủ nghiêm ngặt các quy tắc bảo mật. Việc cập nhật phần mềm định kỳ là yếu tố sống còn vì Apple liên tục phát hành các bản vá cho những lỗ hổng bị lợi dụng. Bên cạnh đó, việc kích hoạt Chế độ phong tỏa (Lockdown Mode) trên các thiết bị iOS cũng góp phần đáng kể trong việc thu hẹp bề mặt tấn công từ các trang web độc hại.