Tim Riset dan Analisis Global Kaspersky (GReAT) melakukan analisis tingkat kode terhadap eksploitasi Coruna dan menentukan bahwa kit tersebut merupakan iterasi langsung dan terbaru dari kerangka kerja yang digunakan dalam kampanye spionase siber Operasi Triangulasi. Kaspersky meyakini bahwa eksploitasi kernel di Triangulasi dan Coruna dibuat oleh penulis yang sama.
Analisis tersebut mengungkapkan bahwa salah satu dari lima eksploitasi kernel dalam kit tersebut adalah versi terbaru dari eksploitasi yang sama yang ditemukan Kaspersky dalam Operasi Triangulasi pada tahun 2023. Empat sisanya — termasuk dua yang dikembangkan setelah Operasi Triangulasi diungkapkan kepada publik — dibangun di atas kerangka kerja eksploitasi yang sama. Kesamaan kode meluas melampaui eksploitasi kernel ke komponen Coruna lainnya, yang membuat Kaspersky menyimpulkan bahwa kit tersebut tidak dirakit dari bagian-bagian yang terpisah tetapi merupakan evolusi yang terus dipelihara dari kerangka kerja aslinya.
Kode tersebut mencakup dukungan untuk prosesor Apple A17, M3, M3 Pro, dan M3 Max, serta referensi ke versi iOS hingga 17.2 — semuanya dirilis pada musim gugur dan musim dingin 2023. Kode tersebut juga mencakup pemeriksaan khusus untuk iOS 16.5 beta 4, versi yang dirilis Apple untuk menambal kerentanan yang dilaporkan Kaspersky.
“Ketika Coruna pertama kali dilaporkan, bukti publik tidak cukup untuk menghubungkan kodenya dengan Triangulation — kerentanan bersama saja tidak dapat membuktikan kepemilikan bersama. Sekarang setelah kami menganalisis biner sebenarnya, gambaran menjadi berbeda. Coruna bukanlah tambalan dari eksploitasi publik; ini adalah evolusi yang terus dipelihara dari kerangka kerja Operation Triangulation asli. Penyertaan pemeriksaan untuk prosesor terbaru seperti M3 dan build iOS yang lebih baru menunjukkan bahwa pengembang asli telah secara aktif memperluas basis kode ini. Apa yang dimulai sebagai alat spionase presisi sekarang digunakan tanpa pandang bulu,” — kata Boris Larin, peneliti keamanan utama di Kaspersky GReAT.
Kaspersky mendesak semua pengguna iPhone untuk segera menginstal pembaruan iOS terbaru. Kerentanan yang dieksploitasi oleh Coruna telah ditambal oleh Apple, tetapi perangkat yang belum ditambal tetap berisiko.
Operasi Triangulasi adalah kampanye ancaman persisten tingkat lanjut (APT) yang menargetkan perangkat iOS, pertama kali diungkapkan pada Juni 2023. Kaspersky menemukan kampanye tersebut saat memantau lalu lintas jaringan Wi-Fi perusahaan mereka sendiri — pelaku ancaman telah menargetkan perangkat iOS dari puluhan karyawan Kaspersky. Peneliti Kaspersky mengidentifikasi empat kerentanan zero-day yang dieksploitasi dalam kampanye tersebut yang memengaruhi berbagai macam produk Apple.
