Шпионское ПО для iPhone перестало быть точечным: утекшие эксплойты для iOS попали к криминальным группировкам и теперь доставляются всем, у кого уязвимая версия системы. В марте 2026 года исследователи раскрыли наборы Coruna и DarkSword, созданные для государственных заказчиков, а уже через несколько недель их код оказался в открытом доступе. Заражение теперь зависит не от того, насколько человек интересен спецслужбам, а от версии iOS и того, заметит ли кто-то взлом.
По данным iVerify, Coruna раскрыли 3 марта 2026 года: в наборе было пять полных цепочек эксплойтов и 23 эксплойта для iOS 13.0-17.2.1. Через 15 дней появился DarkSword - JavaScript-цепочка и похититель данных для iOS 18.4-18.7, которые использовали коммерческие поставщики слежки и подозреваемые государственные акторы. Ещё через пять дней более новая версия DarkSword появилась на GitHub.
Уязвимости DarkSword к моменту утечки уже были закрыты, но ценность представляли приватные техники обхода защиты. После публикации кода их смогли изучить и повторить многие, и исследователи отслеживают уже несколько кластеров вариантов DarkSword. Отдельно они описали схему DarkCoruna, где обе цепочки работают на одной странице и бьют по более широкому диапазону версий iOS.
По оценке компании, к сентябрю атаки Coruna против устройств на уязвимых версиях iOS достигали 5% устройств, тогда как в августе их было 1,5%. В потребительском парке заражённость составляет 1,07 на 1000 устройств, то есть минимум один к 900. Корпоративные клиенты видят почти одно подтверждённое заражение в неделю.
Доставляют эксплойты двумя путями: через взломанные сайты и через рекламу. Coruna находили во встроенных фреймах на скомпрометированных сайтах, а DarkSword - на новостном и государственном ресурсе, причём страница атаковала каждого посетителя с уязвимым iPhone. В атаке «полуклик» эксплойт запускается сразу после загрузки объявления: исследователи зафиксировали такой случай с рекламой в соцсети.
Жертвами становятся обычные сотрудники, а не руководители. В корпоративных случаях Coruna и DarkSword устройства принадлежали рядовым сотрудникам ниже уровня управляющего директора, и следов целенаправленной атаки на топ-менеджеров не нашли. За пределами компаний атаковали детей водителя автобуса и домохозяйки, а также водителя лимузина.
Ни одно из подтверждённых заражений не получило уведомления Apple об угрозе: такие уведомления рассчитаны на людей, которых выбрали индивидуально. Поэтому защита больше не может ждать сигнала от вендора. Риск зависит от доли телефонов с устаревшей iOS и от того, есть ли на самих устройствах детект, не требующий корпоративного управления (MDM).
Компания советует задать минимальную версию iOS для доступа к корпоративным приложениям и проверять устройства на уровне ОС, включая личные телефоны без MDM. Если телефон скомпрометирован, все хранящиеся на нём учётные данные стоит считать скомпрометированными, а для самых рискованных сотрудников включить Lockdown Mode. Собирать телеметрию с телефонов нужно в реальном времени: следы атак быстро исчезают.
