Через семь месяцев после первого разбора Coruna от Google Threat Intelligence Group кампания не только не остановилась, но и обзавелась второй цепочкой. Специалисты Zimperium (zLabs) к октябрю 2026 года насчитали 608 доменов, раздававших код семейства Coruna. Конфигурации 93 из них указывали на 21 отдельный коллектор телеметрии.
Две цепочки под разные версии iOS
Логика выбора простая: устройства на iOS 17.2.1 и старше получают старый фреймворк Coruna с байт-в-байт одинаковыми JavaScript-пейлоадами. Более новые сборки, включая iOS 18.4–18.7, переводят на цепочку на базе DarkSword. Для iOS 18.6.2 загружается отдельный worker с жёстко прописанными смещениями памяти под iPhone 11.
Coruna — это не набор случайных публичных эксплойтов. В 19 контейнерах исследователи нашли 90 записей, 55 Mach-O-файлов и 24 бинарника, из которых двенадцать — версии одного модуля ядра. Отдельного упоминания стоит поддержка обхода PAC с вариантами для iOS 13.0–17.2.1: такое поддерживают только при долгой операции.
Как работает iOS 18-ветка
Эксплуатация идёт в Web Worker, чтобы не мешать интерфейсу. Затем атакующие переходят в mediaplaybackd — системный демон медиа-пайплайнов. GPU-процесс WebKit и mediaplaybackd пытаются создать общий IPC-каталог /private/var/tmp/c2_ipc, но песочница это блокирует; при этом демон получает прямые peer-соединения от GPU-процесса по XPC. В тесте на iOS 18.6.2 исследователи увидели 144 HTTPS-запроса к C2 ccsigen321qc[.]com, включая 14 beacon-проверок и 11 запросов задач. Устройство отправило на сервер базу Apple Notes (NoteStore.sqlite) и список из 214 установленных приложений.
Приманки и доставка
Дейтинг-сайты с шаблонами для Бразилии, Нигерии и Индонезии, AI-компаньоны, крипто-промо и стриминг. Часть страниц прямо просит выйти из встроенного браузера и открыть ссылку в Safari. Отдельный вектор — скомпрометированный npm-пакет art-template в мае 2026 года: тогда Coruna приезжал через дерево зависимостей легитимного сайта.
Что делать
Обновить iOS. Полагаться на «не кликать» недостаточно: цепочка zero-click, а телеметрия уходит каждые десять секунд ещё до эксплуатации. Сетевым защитникам стоит искать beacon-формат и известные конечные точки, а не только содержимое приманок.
Seven months after Google Threat Intelligence Group first dissected Coruna, the campaign has not stopped — it has gained a second chain. By October 2026, Zimperium’s zLabs had counted 608 domains delivering Coruna-family code. Configurations on 93 of them mapped to 21 distinct telemetry collectors.
Two chains for different iOS versions
The selection logic is simple: devices on iOS 17.2.1 or earlier get the legacy Coruna framework, with byte-identical JavaScript payloads. Newer builds, including iOS 18.4–18.7, are redirected to a DarkSword-derived chain. On iOS 18.6.2 a dedicated worker loads with hardcoded memory offsets for an iPhone 11.
Coruna is not a pile of opportunistic public exploits. Across 19 containers the researchers extracted 90 entries, 55 Mach-O files and 24 binaries, twelve of which are versions of a single kernel module. The maintained PAC bypass, with variants covering iOS 13.0–17.2.1, is one of the strongest signs of sustained engineering.
How the iOS 18 branch works
Exploitation runs inside a Web Worker so the interface stays responsive. The chain then pivots into mediaplaybackd, the system daemon for media pipelines. WebKit’s GPU process and mediaplaybackd both try to create a shared IPC directory at /private/var/tmp/c2_ipc, and the sandbox blocks it; meanwhile the daemon receives direct peer connections from the GPU process over XPC. In the iOS 18.6.2 test, the researchers observed 144 HTTPS requests to the C2 ccsigen321qc[.]com, including 14 beacon check-ins and 11 task pulls. The device uploaded an Apple Notes database (NoteStore.sqlite) and an inventory of 214 installed apps.
Lures and delivery
Dating sites using templates localised for Brazil, Nigeria and Indonesia, AI-companion services, crypto promotions and streaming. Some pages explicitly tell visitors to leave the in-app browser and open the link in Safari. Another route was the compromised npm package art-template in May 2026, which delivered Coruna through a legitimate site’s dependency tree.
What to do
Update iOS. “Don’t click” is not enough: the chain is zero-click, and telemetry beacons every ten seconds before exploitation even starts. Network defenders should hunt the beacon format and known endpoints, not just lure content.