Cosa sapere su Coruna, lo strumento di hacking finito nelle mani di gruppi criminali per colpire gli iPhone

Un kit di exploit chiamato Coruna è stato utilizzato inizialmente in operazioni di hacking mirate riconducibili a un cliente governativo, ma nel corso del 2025 è stato osservato anche in campagne condotte da gruppi criminali e attori statali differenti. A rivelarlo sono alcune indagini condotte dagli esperti del Google Threat Intelligence Group. Il fenomeno evidenzia un rischio noto nel settore della cybersecurity: strumenti offensivi sviluppati per scopi di intelligence possono sfuggire al controllo originario e circolare tra soggetti che li riutilizzano per finalità malevole.

Coruna è particolarmente sofisticato perché sfrutta numerose vulnerabilità dei sistemi iOS e può compromettere un dispositivo anche semplicemente inducendo l'utente a visitare una pagina Web malevola. I ricercatori hanno inoltre identificato un malware associato a questo kit, chiamato Plasmagrid, capace di sottrarre dati sensibili e persino svuotare i portafogli di criptovalute. La buona notizia è che Apple ha già corretto da tempo le vulnerabilità sfruttate dal sistema di attacco con aggiornamenti software rilasciati a gennaio 2024. Lo strumento di difesa migliore per difendersi da questa falla di sicurezza, quindi, è sempre lo stesso: installare prontamente gli aggiornamenti di sistema.

L'exploit kit Coruna: quanto è pericoloso

Il caso riguarda un cosiddetto exploit kit, cioè un insieme di strumenti progettati per sfruttare automaticamente falle nel software. Per chiarire, un exploit è un frammento di codice che approfitta di un errore o di una vulnerabilità presente in un programma per ottenere accesso non autorizzato a un sistema. Quando più exploit vengono combinati in un'unica infrastruttura software, si parla appunto di exploit kit. Coruna appartiene a questa categoria e, secondo le analisi dei ricercatori di sicurezza del Google Threat Intelligence Group e della società di sicurezza iVerify, include diverse tecniche per aggirare le protezioni integrate nel sistema operativo degli iPhone.

La scoperta del kit risale al febbraio 2025, quando il team di intelligence sulle minacce informatiche di Google lo ha individuato durante un tentativo di compromissione di uno smartphone da parte di un fornitore di sistemi di sorveglianza. L'operazione sembrava essere condotta per conto di un cliente governativo. Nei mesi successivi lo stesso strumento è ricomparso in contesti completamente diversi: prima in una campagna su larga scala rivolta a siti frequentati da utenti ucraini e attribuita a un gruppo di spionaggio russo identificato come UNC6353, poi in operazioni condotte da un attore di nazionalità cinese, noto come UNC6691, che ha preso di mira piattaforme di scommesse online e servizi legati alle criptovalute.

Questo passaggio tra attori diversi ha alimentato l'ipotesi dell'esistenza di un mercato nero degli exploit, cioè uno scenario in cui strumenti sviluppati per operazioni governative vengono successivamente rivenduti o riutilizzati da altri soggetti. Una categoria particolarmente ricercata è quella degli zero-day, ovvero quelle vulnerabilità sconosciute ai produttori del software. Poiché non esiste ancora una patch (cioè un aggiornamento correttivo) queste falle possono essere sfruttate con grande efficacia dagli aggressori, lasciando alle aziende che sviluppano il software “zero giorni” per correggere la situazione (ecco perché si chiamano attacchi zero-day). Per la cronaca, nel caso di Coruna, le vulnerabilità coinvolte sono state corrette da Apple nel gennaio 2024 con il rilascio dell’aggiornamento iOS 17.3.

Il funzionamento del kit è complesso ma il meccanismo di attacco può essere sorprendentemente semplice. Gli strumenti individuati permettono infatti di compromettere un dispositivo anche tramite una tecnica chiamata watering hole attack. L’espressione prende spunto dal mondo animale e, in modo particolare, dalla strategia usata da alcuni predatori che aspettano l'occasione giusta per attaccare le proprie prede quando queste sono intente ad abbeverarsi. Nel contesto informatico indica un attacco in cui gli hacker osservano quali siti Web vengono frequentati dagli utenti di un'organizzazione e poi utilizzano uno o più di questi siti per distribuire i malware con cui raggiungere i propri fini criminali.

Nel caso di Coruna, il kit sarebbe in grado di attaccare gli iPhone con cinque diverse catene di exploit, sfruttando complessivamente 23 vulnerabilità distinte. I dispositivi potenzialmente esposti erano quelli con versioni di iOS comprese tra la 13.0 (distribuita nel 2019) e la 17.2.1 (pubblicata alla fine del 2023).

Una volta compromesso lo smartphone, sul dispositivo può essere installato un malware chiamato Plasmagrid. Questo sarebbe in grado di raccogliere dati sensibili, informazioni finanziarie e persino di accedere ai wallet di criptovalute presenti sul dispositivo.

Come rendere sicuro il proprio iPhone

Per difendersi da simili vulnerabilità, bisogna essere pronti a mantenere iOS sempre aggiornato. Gli aggiornamenti di sicurezza rilasciati da Apple (e, più in generale, dai produttori di smartphone e dispositivi elettronici) correggono anche le vulnerabilità sfruttate dagli exploit kit, andando a inibire molte tecniche di attacco.

Quando non è possibile installare gli aggiornamenti più recenti, ad esempio su dispositivi molto vecchi, un'ulteriore protezione consiste nell’attivare la modalità di isolamento che, come spiega Apple, «aggiunge un livello di protezione estremo e opzionale per quel ristretto numero di utenti che (per via della loro identità e attività) potrebbero essere bersaglio di alcune delle minacce digitali più sofisticate a loro personalmente dirette». Questa funzione di sicurezza avanzata riduce drasticamente le superfici di attacco del dispositivo limitando però varie funzionalità. Non è pensata per l'uso quotidiano di tutti gli utenti, ma può rappresentare una barriera efficace contro attacchi sofisticati, soprattutto se si appartiene a categorie particolarmente prese di mira dai criminali informatici, come giornalisti e attivisti.

non perderti questo articolo

Come proteggere lo smartphone dagli attacchi informatici degli hacker: 5 suggerimenti utili