Google a découvert un kit de piratage appelé Coruna qui s’introduit discrètement dans les iPhone et vole des crypto en ciblant les applications de wallet populaires comme MetaMask, Phantom et Trust Wallet.
L’attaque ne nécessite aucune action de la part de la victime ; il suffit de se rendre sur un site web compromis ou factice sur un iPhone non mis à jour pour déclencher l’infection.
Sponsorisé
Sponsorisé
Pourquoi est-ce important ?
- Les iPhone sous iOS 17.2.1 ou des versions antérieures restent vulnérables ; Apple n’a corrigé les dernières failles qu’avec iOS 17.3, publié en janvier 2024.
- Le kit de piratage analyse les notes et messages à la recherche de phrases seed de crypto et de mots-clés comme « backup phrase », offrant ainsi aux attaquants un accès complet au wallet sans avoir besoin de mot de passe.
- 18 applications crypto sont ciblées : les utilisateurs de MetaMask, Phantom, Exodus, Trust Wallet et Uniswap sont donc directement exposés à un risque de vol.
Les détails :
- GTIG aurait récupéré la totalité du toolkit à partir de centaines de faux sites financiers et d’exchange crypto, dont une imitation de l’exchange crypto WEEX.
- Un groupe d’espionnage russe aurait utilisé le même kit durant l’été 2025 pour cibler des utilisateurs d’iPhone en Ukraine par le biais de sites appartenant à des entreprises locales compromises.
- Par la suite, un groupe chinois motivé par des intérêts financiers l’a déployé de façon massive par le biais de sites frauduleux, ce qui a permis à Google de récupérer le toolkit complet et de le baptiser Coruna.
- Activer le Mode de verrouillage dans les paramètres iPhone bloque totalement l’attaque — le toolkit le détecte et cesse alors de fonctionner.
Ce qu’il faut retenir :
- Le même kit a transité par une société de surveillance, un groupe russe soutenu par l’État, puis des criminels financiers chinois. Cela laisse penser que le marché de seconde main pour les outils de piratage puissants est en plein essor.
- Deux des failles exploitées par Coruna avaient déjà été utilisées durant l’Operation Triangulation, une campagne d’espionnage sur iOS en 2023 révélée par Kaspersky, ce qui montre que ces attaques complexes sont réutilisées par différents groupes malveillants.
