Сервер эксплойтов для iPhone выбирает цепочку по версии iOS: устройства на iOS 13-17 получают Coruna, на iOS 18 - DarkSword, а всё новее уходит на маршрут C10. Маршрут под iOS 26 отключён, хотя набор с ним открыто продаётся на китайских площадках исходного кода. Посетители попадают на поддельную проверку Cloudflare, оформленную под криптобиржу OKX, и остаются на странице, пока цепочка не отчитается об успехе.
Описание
По данным Ohey, сервер зафиксировали 4 и 5 ноября 2026 года: он отдаёт страницу проверки на любой несуществующий адрес, поэтому её легко принять за обычный сайт. Маршрут C10 включается единственным параметром в конфигурационном файле - на момент проверки он стоял в положении «выключено». За маршрутом нет файлов: запросы возвращают ту же страницу, а роутер записывает в журнал, что цепочка не развёрнута в рабочей среде.
Coruna и DarkSword раскрыли в марте 2026 года, а код DarkSword утёк через несколько дней после раскрытия - с тех пор его подают другие операторы. Сам C10 всё же существовал: в августе и сентябре его дерево лежало на двух сайтах Cloudflare Pages. Смещения памяти под конкретные сборки iOS там генерировали автоматически, хеши в профилях оказались заглушками, и к 6 ноября оба сайта перестали отдавать файлы.
Единственный плагин для iOS 26 на этом сервере записан под номером CVE-2026-10001. По записи CVE это use-after-free (использование памяти после освобождения) в компоненте PerformanceManager браузера Google Chrome: ошибка позволяет выйти из песочницы, если процесс отрисовки страницы уже скомпрометирован; CISA-ADP оценила её в 8,3 балла. К iOS номер отношения не имеет, а плагину нужны чтение и запись памяти от предыдущей стадии - при том что браузерные стадии сервера заканчиваются на iOS 18.
Оператор назвал стадии C10 по номерам CVE-2025-43529, CVE-2025-14174 и CVE-2026-20700, закрытых в декабре 2025 и феврале 2026 годов. Apple сообщила, что все три применялись в одной атаке, а CISA внесла их в каталог Known Exploited Vulnerabilities, куда попадают уязвимости с подтверждённой эксплуатацией в реальных атаках. Для iOS 26.2 и 26.3 в цепочке указана Coruna в роли браузерной стадии.
Набор продают под именем «Caishen iOS C2 V2» на двух китайских площадках исходного кода. В описании перечислены три цепочки, включая C10, и сбор балансов криптокошельков; второе объявление оценивает панель в 388 USDT. Продавец называет C10 рабочей цепочкой, хотя на захваченном сервере она выключена и за ней ничего нет.
Облегчённая версия роутера с 4 октября по 5 ноября 2026 года работала на 72 сайтах, чьи домены копировали WhatsApp, магазины Coupang и Hepsiburada, банк Mizuho Bank. В комментарии к коду сборщик оставил контакт в Telegram. Подтверждённой эксплуатации C10 на iOS 26 нет: посетитель получает только поддельную проверку, но конфигурация читается заново при каждой загрузке страницы, так что включить маршрут можно без правки кода.
Индикаторы компрометации
