Los investigadores de seguridad dicen que un poderoso entorno de piratería de iPhone que alguna vez estuvo vinculado a operaciones de vigilancia ahora se está utilizando en campañas criminales para robar criptomonedas y datos confidenciales de los usuarios.

El kit de exploits, conocido como Coruña, contiene múltiples cadenas de exploits capaces de comprometer iPhones vulnerables a través de sitios web maliciosos.

Los piratas informáticos apuntan a WebKit y versiones anteriores de iOS

Según un exploración de Google Threat Intelligence Group y la empresa de seguridad móvil iVerify, el entorno incluye:

• Cinco cadenas de explotación completas
• 23 vulnerabilidades conocidas de iOS
• Técnicas que eluden varias protecciones de seguridad de Apple

Los ataques tienen como objetivo WebKit, el motor de navegación utilizado por todos los navegadores iOS. Eso significa que simplemente presentarse una página web maliciosa podría comprometer los dispositivos que ejecutan versiones anteriores de iOS.

Una vez activada, la dependencia de explotación aumenta los privilegios del navegador al camino a nivel de kernel, lo que permite a los atacantes instalar malware con permisos de root.

De útil de vigilancia a pertrechos criminal

Los investigadores detectaron por primera vez fragmentos del entorno a principios de 2025 durante una operación de vigilancia supuestamente vinculada a un cliente de un proveedor de software infiltrado.

Más tarde ese año, el exploit apareció nuevamente en una supuesta campaña de inteligencia rusa dirigida a sitios web ucranianos. El código desconfiado estaba oculto adentro de un widget de conteo de visitantes que infectaba silenciosamente a usuarios seleccionados de iPhone.

Más recientemente, el entorno se ha reutilizado en operaciones delictivas dirigidas a sitios de apuestas y criptomonedas en idioma chino.

Más de 40.000 dispositivos potencialmente infectados por “Coruña”.

La empresa de seguridad iVerify estima que una sola campaña centrada en criptografía infectó aproximadamente 42.000 dispositivos, según las conexiones a servidores de comando y control utilizados por los atacantes.

Una vez que un dispositivo se ve comprometido, los piratas informáticos pueden inquirir billeteras de criptomonedas, robar credenciales de inicio de sesión de Exchange, extraer fotografías y datos de correo electrónico.

Los investigadores dicen que el entorno de explotación subyacente es muy sofisticado, mientras que el malware criminal añadido encima parece mucho más simple, lo que sugiere que diferentes grupos están reutilizando la misma plataforma de explotación.

Posibles vínculos con campañas anteriores de software infiltrado

Según se informa, el código utilizado en La Coruña se superpone con componentes de la Operación Triangulación, una importante campaña de espionaje del iPhone descubierta en 2023.

Algunos investigadores creen que el entorno puede favor sido desarrollado originalmente para uso gubernativo o de inteligencia ayer de filtrarse al mercado de exploits más amplio.

Los expertos comparan la situación con la filtración de EternalBlue, que luego impulsó ciberataques a gran escalera como WannaCry.

Cómo los exploits de iPhone de nivel gubernativo terminan en manos criminales

Los investigadores dicen que el incidente pone de relieve un creciente mercado de “segunda mano” para marcos de exploits de día cero.

Las herramientas creadas originalmente para agencias de inteligencia o fuerzas del orden pueden eventualmente revenderse a través de intermediarios de exploits, y a veces terminan en manos de gobiernos rivales o grupos cibercriminales.

Si aceptablemente Apple ha parcheado las vulnerabilidades conocidas utilizadas por Coruña en las versiones actuales de iOS, los expertos en seguridad advierten que las técnicas detrás del entorno podrían seguir evolucionando.

Los usuarios que ejecutan versiones anteriores de iOS siguen siendo los más vulnerables. Para evitar vulnerabilidades, los usuarios deben perseverar los dispositivos completamente actualizados con los últimos parches de seguridad.