Le kit de piratage iPhone Coruna, conçu à l’origine pour des opérations gouvernementales, est désormais utilisé par des cybercriminels. En 23 exploits répartis sur cinq chaînes d’attaque complètes, ce framework cible les iPhone sous iOS 13 à 17.2.1.
C’est une découverte publiée le 2 mars 2026 par le Google Threat Intelligence Group (GTIG) qui confirme une crainte de longue date dans le monde de la cybersécurité : les outils offensifs conçus pour des États finissent par tomber entre des mains criminelles. Le kit baptisé Coruna, également connu sous le nom CryptoWaters, a commencé à circuler entre différents groupes de menaces dès février 2025, avant d’atteindre en décembre 2025 un acteur financièrement motivé opérant depuis la Chine.
Du laboratoire à l’économie criminelle
Selon le Google Threat Intelligence Group, Coruna est passé entre les mains d’au moins trois types d’acteurs distincts en moins d’un an : une opération de surveillance commerciale, un attaquant soutenu par un État, puis un groupe criminel à motivation financière. Ce cheminement illustre l’existence d’un marché secondaire actif pour les exploits de type zero-day, où des outils d’une puissance normalement réservée aux services de renseignement se retrouvent disponibles pour des opérations ordinaires. La vitesse de cette circulation est sans précédent.
« Coruna est l’un des exemples les plus significatifs que nous ayons observés de capacités de niveau spyware se propageant depuis des fournisseurs de surveillance commerciale vers des acteurs étatiques, et finalement vers des opérations criminelles à grande échelle », a déclaré la société iVerify dans son rapport publié le 3 mars 2026. *(Coruna is one of the most significant examples we’ve observed of sophisticated spyware-grade capabilities proliferating from commercial surveillance vendors into the hands of nation-state actors and ultimately mass-scale criminal operations.)*
Une architecture technique hors norme
Le framework Coruna repose sur un JavaScript framework modulaire capable de détecter précisément le modèle d’iPhone et la version iOS de la cible avant de charger l’exploit adapté. Cette logique de fingerprinting permet au kit d’ajuster son attaque en temps réel, ce qui le rend particulièrement difficile à contrer avec des défenses génériques. Google indique que l’architecture est « extrêmement bien conçue », avec des composants reliés de façon naturelle autour de cadres d’exploitation communs.
Les 23 exploits couvrent un spectre de versions iOS allant de 13.0 à 17.2.1. Parmi les vulnérabilités les plus significatives, on trouve CVE-2024-23222, une faille de type confusion dans WebKit corrigée par Apple en janvier 2024 avec iOS 17.3, ainsi que CVE-2023-32434 et CVE-2023-38606, deux failles précédemment utilisées lors de l’Opération Triangulation, selon le GTIG. Ce dernier point établit un lien technique direct avec des outils offensifs liés à des opérations gouvernementales antérieures.
Trois vagues d’attaques documentées
Le GTIG a reconstitué trois phases d’utilisation du kit entre début 2024 et décembre 2025. La première détection remonte à début 2024, dans un framework JavaScript alors inconnu, intégré à une opération de surveillance commerciale. La deuxième vague, identifiée en juillet 2025, concerne des sites web ukrainiens compromis dans des secteurs comme l’équipement industriel, le commerce de détail et l’e-commerce : ces sites injectaient une iFrame cachée pour livrer le kit aux utilisateurs iPhone situés dans une zone géographique précise. Le groupe d’espionnage UNC6353, présumé affilié à la Russie, est tenu responsable de cette campagne.
La troisième phase, détectée en décembre 2025, marque un changement radical. Un groupe criminel suivi sous le nom UNC6691 a déployé Coruna via un réseau de faux sites chinois liés à la finance, sans aucun filtre géographique cette fois. N’importe quel iPhone sous une version iOS vulnérable, en visitant l’un de ces sites, pouvait être infecté. C’est la première exploitation de masse d’iOS jamais documentée dans le domaine public.
PlasmaLoader : vider les portefeuilles crypto après l’intrusion
Une fois l’iPhone compromis, le kit déploie un implant baptisé PlasmaLoader (aussi désigné PLASMAGRID), conçu pour décoder des QR codes à partir d’images et exécuter des modules additionnels récupérés depuis un serveur externe. L’objectif principal est le vol de cryptomonnaies. Les portefeuilles visés incluent MetaMask, Exodus, Base, Bitget Wallet et une vingtaine d’autres applications, selon l’analyse du GTIG.
L’implant embarque un algorithme de génération de domaines utilisant la chaîne « lazarus » comme graine pour produire des domaines de secours en .xyz. Ce mécanisme garantit la continuité des communications avec les serveurs de commande et de contrôle, même si les domaines principaux sont bloqués par les opérateurs réseau. iVerify a également identifié des modules dédiés à WhatsApp et à iMessage, permettant d’utiliser ces canaux comme voie de communication de secours en cas d’indisponibilité des serveurs C2.
Des liens troublants avec l’espionnage d’État
Deux des exploits intégrés dans Coruna, nommés Photon (CVE-2023-32434) et Gallium (CVE-2023-38606), sont identiques à ceux utilisés lors de l’Opération Triangulation, selon le GTIG. En juin 2023, le gouvernement russe avait publiquement accusé la NSA américaine d’avoir conduit cette opération de surveillance ciblant « plusieurs milliers » d’appareils Apple appartenant à des abonnés russes et à des diplomates étrangers. Cette attribution n’a jamais été officiellement confirmée par Washington.
iVerify indique que Coruna présente des similitudes avec des frameworks développés par des acteurs affiliés au gouvernement américain. L’identité précise du concepteur original du kit demeure inconnue à ce stade. Ce parallèle avec l’histoire d’EternalBlue, l’exploit NSA fuité par le groupe Shadow Brokers et recyclé ensuite dans WannaCry, est inévitable : les armes numériques gouvernementales ont une fâcheuse tendance à se retourner contre leurs créateurs.
Comment protéger son iPhone
Le kit Coruna intègre des vérifications avant de déclencher l’infection : si le mode Lockdown est actif sur l’appareil ou si l’utilisateur navigue en mode privé, le kit abandonne l’attaque. Les versions iOS à partir de 17.3 ne sont plus vulnérables aux exploits documentés dans Coruna. La mise à jour vers la dernière version d’iOS reste donc la mesure la plus efficace et la plus immédiate.
Pour les utilisateurs exposés à des risques élevés, comme les journalistes, les défenseurs des droits humains ou les dirigeants d’entreprise, l’activation du mode Lockdown représente une couche de protection supplémentaire. iVerify a rendu son application de détection gratuite pour permettre à tous de vérifier si leur appareil présente des indicateurs de compromission liés à Coruna. L’affaire rappelle que la sécurité mobile n’est plus une préoccupation réservée aux cibles gouvernementales : elle concerne désormais quiconque possède un iPhone et un portefeuille en cryptomonnaies.
