iOS, la proliferazione di Coruna e DarkSword espone 17.000…

Matthias Frielingsdorf, vicepresidente della ricerca di iVerify, ha presentato a Black Hat USA 2026 le dimensioni di una proliferazione senza precedenti: circa

{"main_topic":"cybersecurity","topics":["cybersecurity","exploit","zero-day","malware","iphone"]}

Matthias Frielingsdorf, vicepresidente della ricerca di iVerify, ha presentato a Black Hat USA 2026 le dimensioni di una proliferazione senza precedenti: circa 17.000 domini ospitano varianti di seconda generazione delle catene di exploit iOS Coruna e DarkSword. La rivelazione, datata 10 agosto 2026, documenta il passaggio di infrastrutture da 30-40 milioni di dollari — il costo stimato dello sviluppo originale — nelle mani di cybercriminali convenzionali in grado di operare in cinque minuti.

Punti chiave

iVerify ha tracciato circa 17.000 domini che ospitano varianti ibride di seconda generazione delle catene di exploit iOS Coruna e DarkSword, passate da attori statali a criminali convenzionali.
DarkSword colpisce iOS dalla versione 18.4 alla 18.7 sfruttando sei vulnerabilità distinte, con payload finali in-memory denominati GHOSTBLADE, GHOSTKNIFE e GHOSTSABER.
Almeno tre cluster di minaccia operano attivamente: UNC6353 in Ucraina, UNC6748 contro obiettivi sauditi, PARS Defense in Turchia e Malaysia, con tecniche ibride informalmente denominate "Darkuna".
Il modello operativo "hit-and-run" prevede un tempo di permanenza stimato in minuti sul dispositivo, con esfiltrazione di dati e cancellazione forense automatica dei log di crash.

Da Coruna a DarkSword: la scala del problema

Coruna rappresenta il predecessore immediato di DarkSword. Secondo iVerify, la catena originale colpiva iOS dalla versione 13 alla 17.2.1, impiegando 23 vulnerabilità distribuite su cinque catene di exploit. Lo sviluppo di questa infrastruttura è stimato tra i 30 e i 40 milioni di dollari, una cifra che colloca Coruna tra le piattaforme di attacco mobile più costose mai documentate.

DarkSword ne eredita l'architettura modulare e ne amplifica la portata. Google Cloud Threat Intelligence Group (GTIG) ha identificato sei vulnerabilità distinte, con targeting su iOS 18.4-18.7. Le fonti convergenti indicano range leggermente diversi: Lookout osserva attività fino alla versione 18.6.2, mentre Google estende il target fino alla 18.7. Questa discrepanza riflette probabilmente l'evoluzione osservativa delle campagne nel tempo.

Il nucleo tecnico si articola in quattro stadi: Remote Code Execution via WebKit/JavaScriptCore, evasione della sandbox WebGPU/ANGLE, bypass del Pointer Authentication Code (PAC) in dyld, e escalation di privilegi a livello kernel XNU. I payload JavaScript operano interamente in memoria, con comunicazione C2 crittografata ECDH+AES.

Gli attori identificati e il fenomeno "Darkuna"

Rescana ha associato nomi specifici a tre cluster operativi. UNC6353, precedentemente legato a Coruna, ora impiega DarkSword in Ucraina attraverso watering hole su siti governativi compromessi, inclusi 7aac.gov[.]ua. UNC6748, operatore commerciale di sorveglianza con focus saudita, ha utilizzato il dominio snapshare[.]chat — un clone tematizzato Snapchat — per distribuire il backdoor GHOSTKNIFE. PARS Defense, vendor turco di strumenti di sorveglianza, ha operato in Turchia e Malaysia tramite sahibndn[.]io e e5.malaymoil[.]com, distribuendo GHOSTSABER.

La sovrapposizione infrastrutturale documentata da Lookout collega formalmente i due ecosistemi: cdncounter[.]net condivide nameserver, registrar, data di registrazione e risoluzione IP con cdn.uacounter[.]com, dominio Coruna. Questa condivisione di infrastruttura supporta l'ipotesi di una filiera comune piuttosto che di riproduzione indipendente.

iVerify e Palo Alto Networks hanno osservato separatamente attori che combinano tecniche di entrambe le catene, generando varianti ibride informalmente denominate "Darkuna". Il dossier non specifica se questa ibridazione rappresenti l'opera di un singolo attore o di più evoluzioni convergenti indipendenti.

Il modello "hit-and-run" e il targeting dei wallet crypto

Lookout ha caratterizzato l'operazione DarkSword con precisione forense: una volta completata l'esfiltrazione dei dati mirati, il malware cancella i file creati sul filesystem e termina l'esecuzione. Il tempo di permanenza sul dispositivo è stimato in un intervallo di minuti. Questo modello contrasta deliberatamente con la persistenza tradizionale dello spyware mobile, ottimizzando l'evasione rilevamento rispetto alla durata dell'accesso.

Il targeting finanziario è esplicito. Lookout documenta il caricamento selettivo di rce_loader.js in presenza di specifici wallet per criptovalute: Coinbase, Binance, Kraken, Kucoin, Okx, Mexc, Ledger, Trezor, Metamask, Exodus, Uniswap, Phantom, Gnosis Safe. Questa specializzazione indica un movente finanziario chiaro, diverso dalla sorveglianza classica associata a Coruna.

La cancellazione dei log di crash rappresenta un'anti-forensica integrata, non un effetto collaterale: il malware rimuove attivamente le tracce di arresto anomalo del sistema, rendendo la ricostruzione post-infezione significativamente più complessa.

"In five minutes, you can deploy an iOS exploit chain. This is extremely dangerous and extremely easy to proliferate" — Matthias Frielingsdorf, VP of research at iVerify

Le vulnerabilità documentate e la timeline di patch

Google GTIG ha attribuito identificatori CVE a tre vulnerabilità centrali nella catena DarkSword, con metriche NVD verificate: CVE-2025-31277 (CVSS 8.8 HIGH), memoria corruption in JavaScriptCore impiegata dal file rce_worker_18.4.js; CVE-2025-43529 (CVSS 8.8 HIGH), seconda memory corruption in JavaScriptCore aggiunta nella variante rce_worker_18.6.js; CVE-2026-20700 (CVSS 7.8 HIGH), bypass del PAC in dyld presente in entrambe le varianti.

Rescana elenca ulteriori identificatori — CVE-2026-43510, CVE-2026-43520, CVE-2026-14174 — con prefissi anno 2026 che Google attribuisce invece al 2025. Questa incoerenza nei prefissi CVE, rilevata esplicitamente nelle fonti, potrebbe riflettere errori tipografici, confusione di versione o assegnazioni CVE non ancora sincronizzate tra database.

La timeline di mitigazione presenta discrepanze analoghe. Google GTIG indica il patching in iOS 26.3, mentre Check Point documenta iOS 18.7.7 con data 1 aprile 2026. Il dossier non chiarifica se si tratti della stessa release con diversa numerazione o di patch sequenziali distinte. La prima osservazione GTIG di DarkSword da parte di UNC6748 risale a novembre 2025; l'osservazione coordinata Lookout del nuovo threat è collocata nel tardo 2025.

Cosa fare adesso

Apple ha inserito i domini correlati in Safe Browsing, secondo Google GTIG. Gli utenti con iOS 18.4-18.7 non ancora aggiornati alla versione patchata risultano esposti. Lockdown Mode, la funzione di protezione avanzata di Apple, è citata dalle fonti come misura di mitigazione rilevante per gli utenti ad alto rischio. La Mobile Threat Defense (MTD), posizionata da Check Point e Zimperium, rappresenta un layer di rilevamento complementare per ambienti enterprise.

La segmentazione operativa richiede attenzione differenziata: gli utenti standard devono prioritizzare l'aggiornamento iOS; gli utenti ad alto rischio — giornalisti, attivisti, operatori finanziari — dovrebbero valutare Lockdown Mode attivo e soluzioni MTD. La consapevolezza del vettore watering hole, con compromissione di siti legittimi, riduce l'efficacia della sola cautela visiva sui domini.

Le fonti convergenti sottolineano un limite strutturale: il patching reattivo è insufficiente contro exploit chain che operano in minuti e cancellano le tracce. La difesa richiede prevenzione in ingresso — blocco domini noti, MTD, comportamento di navigazione — più che rilevamento post-compromissione.

La lettura: quando lo spyware di stato diviene prodotto di massa

La proliferazione di DarkSword illustra una inversione di mercato: il costo di sviluppo originale, 30-40 milioni di dollari, viene ammortizzato attraverso moltiplicatori di accesso che ne riducono il prezzo marginale per singolo attacco a cifre accessibili a criminali convenzionali. La comparsa di porzioni della catena di exploit su GitHub, documentata da iVerify, indica un punto di rottura nella filiera di controllo — ma il dossier non specifica se la proliferazione avvenga per vendita diretta, furto, leak o scoperta indipendente.

La distinzione tra autore dell'exploit e operatore del malware, sottolineata da Frielingsdorf, acquirente eccessiva rilevanza in questo contesto: la separazione dei ruoli consente la specializzazione e la scalabilità che rendono sostenibile il modello "hit-and-run" a volume. Il passaggio da targeting statale a targeting dei wallet crypto non è evoluzione tecnica ma adattamento commerciale di una piattaforma esistente.

Il dato più disturbante resta la velocità di deployment: cinque minuti, secondo la fonte primaria, per attivare una catena che richiede anni di sviluppo. Questa asimmetria — tempo di crezione versus tempo di diffusione — costituisce il vero parametro di rischio strutturale per l'ecosistema mobile.

FAQ

Quali versioni iOS sono vulnerabili a DarkSword?
Secondo Google GTIG, iOS dalla versione 18.4 alla 18.7; Lookout osserva attività fino alla 18.6.2. Apple ha rilasciato patch, con versione indicata come iOS 26.3 (Google) o iOS 18.7.7 (Check Point).

Come si rileva un'infezione DarkSword?
La fonte non specifica indicatori di compromissione domestici: il malware opera in-memory, cancella i file creati e rimuove i log di crash. La rilevazione dipende da soluzioni MTD o analisi di rete avanzata.

Qual è la relazione tra Coruna e DarkSword?
DarkSword è la successione tecnica di Coruna, con sovrapposizione di infrastruttura (domini, nameserver, registrar) e attori (UNC6353). Entrambi sono ora disponibili in varianti ibride denominate informalmente "Darkuna".

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti