Kaspersky GReAT ha pubblicato il 17 aprile 2026 la scoperta di DarkSword e Coruna, due framework di attacco iOS che traslano il modello dello spyware governativo in infezioni di massa contro utenti comuni. Apple ha risposto con patch retroattive per iOS 15.8.7, 16.7.15 e 18.7.7, un movimento eccezionale che conferma la gravità del threat. La posta in gioco supera lo spionaggio politico: il movente è ora il furto di crypto wallet, rendendo ogni utente iOS con versione non aggiornata un target economico.
- DarkSword sfrutta una catena di 6 vulnerabilità iOS per sandbox escape, privilege escalation ed esecuzione codice; Coruna ne impiega 23, alcune in WebKit, per compromettere versioni da iOS 13 a iOS 17.2.1
- Entrambi operano in modalità zero-click: la compromissione avviene visitando siti legittimi infettati, senza alcuna interazione dell'utente
- DarkSword è malware fileless residente in RAM che non sopravvive al reboot; Coruna è versione aggiornata del framework usato in Operation Triangulation, con 4 kernel exploit aggiuntivi sviluppati dopo la scoperta dell'operazione
- Apple ha confermato entrambi strumenti nelle proprie patch note: iOS 18.7.7 cita esplicitamente "web attacks called DarkSword", mentre iOS 15.8.7 e 16.7.15 associano i fix a "the Coruna exploit"
Il meccanismo: da watering hole a sandbox escape senza click
L'attacco parte da siti legittimi compromessi con codice malevolo iniettato. La vittima visita il sito — tramite Safari o qualsiasi browser iOS, tutti costretti a usare WebKit per decisione di Apple — e il codice sfrutta vulnerabilità nel motore di rendering per ottenere l'esecuzione iniziale. Da lì, le catene exploit prendono strade diverse.
DarkSword impiega 6 vulnerabilità in sequenza per uscire dalla sandbox, scalare privilegi ed eseguire codice arbitrario, secondo l'analisi di Kaspersky GReAT. Il payload finale è fileless: risiede in RAM, lascia tracce minime sul filesystem e scompare al riavvio del dispositivo. Questa architettura riduce la rilevabilità forense post-infezione, anche se non garantisce persistenza oltre il reboot.
Coruna è più complesso: 23 vulnerabilità diverse, "several of which are tucked away in Apple's WebKit", secondo la stessa fonte. Il framework è descritto da Kaspersky su SecureList come "an updated version of the same exploit that had been used in Operation Triangulation", con quattro kernel exploit aggiuntivi, due dei quali sviluppati dopo la scoperta di quella operazione. L'analisi tecnica evidenzia stager con fingerprinting del browser, exploit RCE e PAC condizionali, payload crittografati con ChaCha20 e compressi con LZMA, container identificati dai magic numbers 0xBEDF00D, 0xF00DBEEF e 0x12345678. Il codice è "uniformly engineered", non un patchwork di componenti rubati.
La traccia di Apple: patch retroattive come termometro di crisi
Il 1° aprile 2026 Apple ha abilitato retroattivamente iOS 18.7.7, secondo la documentazione di supporto. Questo raro movimento di supporto per versioni obsolete — iOS 15.8.7 e 16.7.15 sono state patchate contemporaneamente — segnala che il vendor ha valutato il threat come troppo grave per lasciare indietro dispositivi non aggiornabili a iOS 26.
L'advisory per iOS 18.7.7 cita esplicitamente "users with Automatic Updates turned on can automatically receive important security protections from web attacks called DarkSword" e aggiunge: "The fixes associated with the DarkSword exploit first shipped in 2025". Questa nota chiarisce che le vulnerabilità erano già state corrette in release principali, ma il backporting retroattivo indica una campagna in-the-wild sufficientemente estesa da giustificare l'eccezione.
Per Coruna, iOS 15.8.7 riporta "This fix associated with the Coruna exploit was shipped in iOS 17 on September 18, 2023. This update brings that fix to devices that cannot update", mentre iOS 16.7.15 specifica "This fix associated with the Coruna exploit was shipped in iOS 17.2 on December 11th, 2023". La stessa vulnerabilità, quindi, ha richiesto tre anni di latenza per il backporting completo, un intervallo che espone l'architettura di supporto Apple come potenziale debolezza nel modello "closed and trusted".
Democratizzazione del threat: da dissidenti a wallet crypto
"DarkSword and Coruna — discovered by researchers earlier this year — are total game-changers. This malware is being used for mass infections of everyday users." — Kaspersky GReAT
La transizione qualitativa non è tecnica ma economica. Operation Triangulation, scoperta da Kaspersky nel 2023, targettava specificamente dipendenti dell'azienda stessa e figure ad alto rischio. DarkSword e Coruna colpiscono "everyday users" con movente di lucro: furto di crypto wallet. Kaspersky stima che almeno 42.000 dispositivi siano stati infettati in Cina "there alone" da Coruna, un ordine di grandezza che trasforma lo spyware da strumento di intelligence a commodity criminale scalabile.
DarkSword ha colpito utenti in Arabia Saudita, Turchia e Malaysia, secondo la stessa fonte. In alcuni siti infetti i ricercatori hanno trovato il codice sorgente completo del framework, un dettaglio che facilita la replica e la modifica da parte di operatori meno sofisticati. L'origine rimane attribuita a "software originally created by state-affiliated companies, possibly from the U.S." — l'alta qualità del codice, i commenti in inglese dettagliati e l'ingegnerizzazione uniforme supportano questa ipotesi, ma non esistono sovrapposizioni infrastrutturali documentate che colleghino l'attore a una specifica agenzia governativa allo stato attuale.
Il meccanismo preciso di trapelamento non è confermato: una teoria non verificata suggerisce la vendita da parte di un dipendente, ma il dossier non offre prove. Ciò che è documentato è il risultato: tooling APT governativo ora operativo nelle mani di cybercriminali comuni.
Il confino Apple: quando il modello chiuso incontra vulnerabilità universali
La scelta architetturale di Apple — WebKit obbligatorio per tutti i browser iOS, sandbox stringente, distribuzione software centralizzata — è progettata per ridurre la superficie di attacco. L'effetto paradosso è che una vulnerabilità WebKit diventa universale: Chrome, Firefox, Brave o qualsiasi alternativa su iOS sono tutti vulnerabili simultaneamente, perché tutti usano il motore di Apple.
Coruna e DarkSword sfruttano esattamente questo vincolo. Le 23 vulnerabilità di Coruna e le 6 di DarkSword includono flaw che colpiscono il rendering web condiviso, trasformando ogni pagina visitata in potenziale vettore. Il modello di sicurezza "trusted" richiede quindi fiducia assoluta nel vendor per la tempestività delle patch — fiducia che il backporting di tre anni per Coruna, e l'abilitazione retroattiva del 1° aprile 2026 per DarkSword, mettono in tensione.
La stima di Kaspersky che circa il 25% dei dispositivi Apple attivi esegua ancora iOS 18 o versioni precedenti traduce la vulnerabilità in scala di mercato: milioni di dispositivi potenzialmente esposti, non per scelta consapevole ma per obsolescenza hardware o ritardo negli aggiornamenti automatici.
Cosa fare adesso
Apple ha rilasciato patch specifiche e strutturate: gli utenti con iOS 15, 16 o 18 devono verificare di aver ricevuto rispettivamente iOS 15.8.7, 16.7.15 o 18.7.7. L'advisory per iOS 18.7.7 specifica che "users with Automatic Updates turned on can automatically receive important security protections", suggerendo che il meccanismo di aggiornamento automatico è il vettore di distribuzione primario per queste patch retroattive.
I dispositivi che non supportano iOS 26 rimangono esposti se non aggiornati alle patch retroattive: iOS 15.8.7 e 16.7.15 sono state esplicitamente rilasciate per "devices that cannot update" alla linea principale. Gli utenti di questi dispositivi devono controllare manualmente la presenza dell'update, dato che la notifica automatica potrebbe essere ritardata.
La natura zero-click dell'attacco — compromissione tramite visita a sito legittimo infettato — rende inefficaci le consuete raccomandazioni di cautela nel clicking. Il brief non documenta misure correttive specifiche oltre l'aggiornamento del sistema operativo: la fonte non specifica se browser alternativi o restrizioni di rete possano mitigare il threat, né se esistano indicatori di compromissione rilevabili dall'utente finale.
Il dossier non elenca azioni correttive da parte di Kaspersky o di altri vendor di sicurezza endpoint per iOS, piattaforma che limita l'installazione di software di terze parti con accesso system-level.
Il rischio rimanente: dispositivi abbandonati e mercato grigio degli exploit
La linea di confine più netta non è tecnica ma economica. iOS 15.8.7 copre dispositivi che Apple ha formalmente ritirato dal supporto principale; la patch è un'eccezione motivata dall'emergenza, non una policy. Se il modello di business Apple prevede l'obsolescenza programmata del supporto sicurezza, ogni futura trapelazione di tooling APT rischia di trovare una popolazione di dispositivi "zombie" senza patch disponibili.
Il dossier non specifica se altre vulnerabilità dello stesso set rimangano non patchate, né se i gruppi criminali in uso di DarkSword e Coruna dispongano di varianti modificate che eludono i fix retroattivi. La presenza del codice sorgente esposto su siti infetti rende questa ipotesi tecnicamente plausibile, ma non documentata nelle fonti attuali.
La narrazione consolidata dello spyware iOS come riserva di executive e attivisti ha rallentato la percezione del threat da parte dell'utente comune. Il passaggio a furto di crypto wallet come movente principale elimina questa distanza di immaginazione: il target è ora chiunque detenga asset digitali, una popolazione significativamente più ampia e meno abituata a modelli di minaccia avanzata persistente.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.kaspersky.com/blog/ios-exploits-darksword-and-coruna-in-mass-attacks/55622/
- https://support.apple.com/en-us/126632
- https://support.apple.com/en-us/126646
- https://support.apple.com/en-us/126793
- https://securelist.com/coruna-framework-updated-operation-triangulation-exploit/119228/
- https://www.kaspersky.com/blog/predator-spyware-ios-recording-indicator-bypass/55463/