Ali ARDAL
Coruna, Apple’ın iOS işletim sistemindeki birden fazla güvenlik açığından yararlanarak iPhone cihazlarına sızmayı amaçlayan gelişmiş bir exploit kitidir. Google Threat Intelligence Group (GTIG) tarafından Mart 2026’da detaylandırılan tehdit, beş farklı exploit zinciri ve toplam 23 exploit içermektedir.
Eylül 2026’da İtalyan dijital adli bilişim şirketi Forenser tarafından yayımlanan araştırma ise Coruna ile ilişkilendirilen ve WhatsApp hesaplarının gizlice ele geçirilmesi için kullanılan bir modülü ortaya çıkarmıştır. Bu modül, saldırganların kurbanın WhatsApp hesabına yetkisiz bir cihaz eklemesine, eklenen cihazı kullanıcının listesinden gizlemesine ve saldırgan tarafından gönderilen mesajları kurbanın sohbet ekranından kaldırmasına imkân tanımaktadır.
Ekim 2026’da iVerify ve Report URI tarafından yayımlanan araştırmalar ise Coruna’nın artık yalnızca hedefli saldırılarda değil, süresi dolmuş üçüncü taraf etiket (tag) alan adları üzerinden binlerce web sitesini etkileyebilen dağıtım zincirlerinde de kullanılabildiğini göstermektedir. Aynı kampanyada DarkSword adlı ikinci bir iOS exploit kiti de kullanılmıştır.
Ne Oldu?
Google Threat Intelligence Group, Mart 2026’da Coruna isimli iOS exploit kitini kamuoyuna duyurdu. Araştırmaya göre Coruna, iOS 13.0 ile iOS 17.2.1 arasındaki sürümleri hedefleyen beş farklı exploit zincirinden ve toplam 23 exploitten oluşmaktadır.
Saldırı zinciri, kullanıcının Safari üzerinden kötü amaçlı veya ele geçirilmiş bir web sitesini ziyaret etmesiyle başlayabilmektedir. WebKit üzerinden gerçekleştirilen saldırı sonucunda tarayıcı güvenlik sınırları aşılabilmekte, devamındaki işletim sistemi açıkları kullanılarak cihaz üzerinde yüksek yetkili erişim elde edilebilmektedir.
Forenser’ın 28 Eylül 2026 tarihli araştırması ise Coruna ile ilişkili WhatsApp modülünün çalışma şeklini ortaya çıkarmıştır. Araştırmacılar, incelenen iPhone cihazlarında aşağıdaki davranışları gözlemlemiştir:
- Kullanıcıların haberi olmadan WhatsApp hesaplarından mesaj gönderilmesi.
- Saldırgan tarafından eklenen bağlı cihaz (Linked Device) kayıtlarının kullanıcı arayüzünden gizlenmesi.
- Saldırganın gönderdiği mesajların kurbanın sohbet geçmişinde görünmemesi.
- WhatsApp mesajları, telefon numaraları ve profil bilgilerinin ele geçirilmesi.
- Kişilerin iletişim bilgilerinin kullanılmasıyla para taleplerinin daha inandırıcı hâle getirilmesi.
Saldırının cihaz üzerinde, mesajların şifresi çözüldükten sonra gerçekleşmesi dikkat çekicidir. Bu nedenle WhatsApp’ın uçtan uca şifrelemesi, ele geçirilmiş bir cihazda tek başına koruma sağlamamaktadır. Forenser’ın incelediği WhatsApp modülünün Coruna ile bağlantısı bağımsız bir kaynak tarafından henüz doğrulanmış değildir.
Saldırı Nasıl Çalışıyor?
Coruna saldırısının temelinde WebKit, iOS çekirdeği (kernel) ve güvenlik mekanizmalarındaki açıkların zincirleme kullanılması bulunmaktadır. Saldırganlar, cihazın iOS sürümünü ve donanım özelliklerini belirleyerek uygun exploit zincirini seçmektedir.
1. Kullanıcı kötü amaçlı web sitesini ziyaret ediyor
Saldırı, Safari üzerinden kötü amaçlı veya ele geçirilmiş bir web sitesinin ziyaret edilmesiyle başlayabilir. Ekim 2026’da yayımlanan DeadTag araştırması, eski reklam ve analitik servislerine ait süresi dolmuş alan adlarının saldırganlar tarafından yeniden kaydedildiğini ve bu alan adlarının hâlâ binlerce web sitesinde bulunan eski script referansları üzerinden kullanıldığını ortaya koymuştur.
Ayrı bir olayda iVerify, bir iPhone kullanıcısının Instagram reklamını kaydırırken DarkSword’ün bir çeşidiyle enfekte olduğunu bildirmiştir. Bu olay Coruna ile değil, DarkSword ile ilişkilidir.
2. Cihaz parmak izi ve iOS sürümü belirleniyor
Exploit kit, ziyaretçinin cihaz modelini, işlemci mimarisini ve iOS sürümünü belirlemek için cihaz parmak izi (fingerprinting) işlemleri yapar. Elde edilen bilgilere göre uygun exploit zinciri seçilir.
3. WebKit üzerinden kod çalıştırma sağlanıyor
Coruna, hedef iOS sürümüne uygun WebKit açıklarından yararlanarak tarayıcı sürecinde kod çalıştırmayı hedefler. Bu aşamada CVE-2024-23222, CVE-2023-43000 ve CVE-2022-48503 gibi açıklarla ilişkilendirilmiş exploitler bulunmaktadır.
4. Sandbox ve kernel güvenlik sınırları aşılıyor
Tarayıcı sürecinde kod çalıştırıldıktan sonra saldırı zinciri sandbox escape, kernel exploit ve PPL bypass tekniklerinden yararlanarak devam eder. Bu aşamanın sonunda cihazda root seviyesinde erişim elde edilebilir.
5. PLASMAGRID implantı yükleniyor
Google’ın analizinde son aşamada PlasmaLoader adı verilen ve PLASMAGRID olarak takip edilen bileşen tanımlanmıştır. Bu bileşen com.apple.assistd kimliğini kullanarak çalışır ve powerd isimli sistem daemon’una enjekte edilir. Ardından saldırganın komuta-kontrol (C2) altyapısıyla iletişim kurarak ek modülleri indirmesi ve çalıştırması mümkün hâle gelir.
6. WhatsApp sürecine kötü amaçlı modül yükleniyor
Forenser’ın analizine göre saldırgan, WhatsApp uygulamasının çalışan sürecine kötü amaçlı bir kütüphane yükler. Bu modül, WhatsApp’ın cihaz eşleştirme işlevlerini manipüle ederek saldırganın kontrolündeki bir cihazı, kullanıcı QR kodu taramadan bağlı cihaz (Linked Device) olarak ekleyebilir.
7. Linked Device gizleniyor ve mesajlar siliniyor
Modül, WhatsApp’ın Linked Devices listesini oluşturan işlevlere müdahale eder. Özellikle LinkedDevicesFirefox ve LinkedDevicesUnknownDevice olarak tanımlanan cihaz kayıtları listeden çıkarılabilir. Saldırganın gönderdiği mesajlar da ilgili cihazın JID bilgisine göre filtrelenerek kurbanın sohbet ekranından gizlenebilir.
8. Hassas bilgiler dışarı aktarılıyor
Ele geçirilen bilgiler saldırganın kontrolündeki sunuculara gönderilebilir. Bunlar arasında şunlar bulunmaktadır:
- WhatsApp mesajları.
- Telefon numaraları ve rehber bilgileri.
- Profil fotoğrafları ve kullanıcı kimlikleri.
- Cihaz bilgileri.
- Apple Keychain içindeki parolalar ve diğer gizli bilgiler.
- Kripto para cüzdanlarına ilişkin hassas bilgiler.
- Apple Notes içindeki kurtarma ifadeleri ve finansal bilgiler.
Bu veri türlerinin tamamının tek bir WhatsApp modülü tarafından ele geçirildiği varsayılmamalıdır. Liste, Coruna ile ilişkilendirilen farklı zararlı bileşenlerin olası veri toplama kapsamını da içermektedir.
Bu Saldırıyı Tespit Etmeyi Zorlaştıran Ne?
Coruna’nın en dikkat çekici özelliklerinden biri, klasik bir uygulama yüklemesi gerektirmeden Safari üzerinden tetiklenebilmesidir. Ayrıca zararlı modülün WhatsApp’ın Linked Devices ekranındaki kayıtları gizleyebilmesi, kullanıcının hesabının ele geçirildiğini fark etmesini zorlaştırmaktadır.
Ekim 2026’da yayımlanan araştırmalarda eski reklam ve analitik alan adları üzerinden zararlı içerik dağıtımı da tespit edilmiştir. Bu nedenle yalnızca zararlı uygulama ve dosya kontrolü yeterli değildir; DNS, proxy ve mobil cihaz telemetrisi de incelenmelidir.
Nasıl Korunulur?
- iPhone cihazları desteklenen en güncel iOS sürümüne yükseltilmelidir.
- WhatsApp güncel tutulmalı ve iki adımlı doğrulama etkinleştirilmelidir.
- Şüpheli Linked Device kayıtları kontrol edilmelidir. Ancak temiz bir liste, hesabın ele geçirilmediğine dair kesin güvence sağlamaz.
- Yüksek riskli kullanıcılar için Apple Lockdown Mode değerlendirilmelidir.
- Şüpheli para talepleri farklı bir iletişim kanalı üzerinden doğrulanmalıdır.
- Web sitesi sahipleri, kullanılmayan üçüncü taraf etiketlerini kaldırmalı, harici scriptleri izlemeli ve Content Security Policy (CSP) uygulamalıdır.
- Enfekte olduğundan şüphelenilen cihazlarda sıfırlama öncesinde adli bilişim delilleri korunmalıdır.
Hangi Sistemler Etkileniyor?
Google GTIG araştırmasına göre Coruna, iOS 13.0 ile iOS 17.2.1 arasındaki sürümleri hedeflemektedir. Etkilenme durumu yalnızca cihaz modeline değil, iOS sürümüne ve ilgili exploit zincirinin gereksinimlerine de bağlıdır.
| iOS sürümü | Durum |
|---|---|
| iOS 13.0–17.2.1 | GTIG’nin bildirdiği hedef sürüm aralığı |
| iOS 17.3 | CVE-2024-23222 için düzeltme içeriyor; cside’ın analizine göre bazı zincirler 17.3–17.4 aralığına uzanabiliyor |
| iOS 17.4 ve sonrası | cside’ın değerlendirmesine göre bilinen Coruna zincirleri için düzeltmeler mevcut; diğer iOS tehditlerine karşı genel güvence sağlamaz |
Not: Bu tablo Coruna’nın hedeflediği sürümleri göstermektedir. Daha yeni iOS sürümleri için ayrı bir güvenlik kontrolü yapılmalıdır. Ekim 2026 araştırmalarında, DarkSword adlı başka bir iOS exploit kitinin değiştirilmiş (P7) bir çeşidinin belirli daha yeni iOS sürümlerine karşı kullanıldığı bildirilmiştir. Bu nedenle iOS 17.4 ve üzerindeki cihazların tüm iOS tehditlerine karşı güvende olduğu düşünülmemelidir.
CVE Bilgileri
Coruna’nın 23 exploitinden kamuya açık CVE numarasıyla eşleştirilebilen güvenlik açıkları aşağıda listelenmiştir. Google’ın araştırmasında bazı exploitler için kamuya açık CVE numarası bulunmadığı da belirtilmiştir. Bu nedenle Coruna, tek bir CVE ile tanımlanabilecek bir güvenlik açığı değil, birden fazla açığı zincirleme kullanan bir exploit kitidir.
| CVE | Etkilenen bileşen / açıklama |
|---|---|
| CVE-2020-27932 | Kernel güvenlik açığı |
| CVE-2020-27950 | Kernel bilgi sızıntısı |
| CVE-2021-30952 | WebContent bellek erişimi |
| CVE-2022-48503 | WebKit / WebContent |
| CVE-2023-32409 | WebContent sandbox escape |
| CVE-2023-32434 | Kernel exploit |
| CVE-2023-38606 | PPL bypass |
| CVE-2023-41974 | Kernel exploit |
| CVE-2023-43000 | WebKit / WebContent |
| CVE-2024-23222 | WebKit uzaktan kod çalıştırma (RCE) |
| CVE-2024-23225 | PPL bypass |
| CVE-2024-23296 | PPL bypass |
Kaynak olarak belirtilen araştırma: Google Threat Intelligence Group (GTIG). CVE-bileşen eşleştirmeleri yayımlanmadan önce ilgili üretici kayıtlarıyla karşılaştırılmalıdır.
IOC Listesi
Aşağıdaki göstergeler Coruna ile ilişkilendirilen farklı kampanyalardan derlenmiştir. Forenser’ın WhatsApp raporu ağ göstergesi içermediği için bu IOC’lerin WhatsApp vakalarına özgü olduğu kanıtlanmış değildir.
Önemli: Alan adları ve dosya özetleri tehdit istihbaratı kapsamında değerlendirilmelidir. Doğrulama yapılmadan alan adları ziyaret edilmemeli veya bütün göstergeler otomatik engelleme listelerine eklenmemelidir.
1. Dosya IOC’leri (SHA-256)
Bileşen veya uygulama kimliğiyle ilişkilendirilen SHA-256 değerleri:
com.apple.assistd 2a9d21ca07244932939c6c58699448f2147992c1f49cd3bc7d067bd92cb54f3a
com.apple.springboard 18394fcc096344e0730e49a0098970b1c53c137f679cff5c7ff8902e651cd8a3
com.bitkeep.os 6eafd742f58db21fbaf5fd7636e6653446df04b4a5c9bca9104e5dfad34f547c
com.bitpie.wallet 42cc02cecd65f22a3658354c5a5efa6a6ec3d716c7fbbcd12df1d1b077d2591b
coin98.crypto.finance.insights 0dff17e3aa12c4928273c70a2e0a6fff25d3e43c0d1b71056abad34a22b03495
org.toshi.distribution 05b5e4070b3b8a130b12ea96c5526b4615fcae121bb802b1a10c3a7a70f39901
exodus-movement.exodus 10bd8f2f8bb9595664bb9160fbc4136f1d796cb5705c551f7ab8b9b1e658085c
im.token.app 91d44c1f62fd863556aac0190cbef3b46abc4cbe880f80c580a1d258f0484c30
com.kyrd.krystal.ios 721b46b43b7084b98e51ab00606f08a6ccd30b23bef5e542088f0b5706a8f780
io.metamask.MetaMask 25a9b004cf61fb251c8d4024a8c7383a86cb30f60aa7d59ca53ce9460fcfb7de
org.mytonwallet.app be28b40df919d3fa87ed49e51135a719bd0616c9ac346ea5f20095cb78031ed9
app.phantom 3c297829353778857edfeaed3ceeeca1bf8b60534f1979f7d442a0b03c56e541
com.skymavis.Genesis 499f6b1e012d9bc947eea8e23635dfe6464cd7c9d99eb11d5874bd7b613297b1
com.solflare.mobile d517c3868c5e7808202f53fa78d827a308d94500ae9051db0a62e11f7852e802
com.global.wallet.ios 4dfcf5a71e5a8f27f748ac7fd7760dec0099ce338722215b4a5862b60c5b2bfd
com.tonhub.app d371e3bed18ee355438b166bbf3bdaf2e7c6a3af8931181b9649020553b07e7a
com.jbig.tonkeeper 023e5fb71923cfa2088b9a48ad8566ff7ac92a99630add0629a5edf4679888de
com.tronlink.hdwallet f218068ea943a511b230f2a99991f6d1fbc2ac0aec7c796b261e2a26744929ac
com.sixdays.trust 1fb9dedf1de81d387eff4bd5e747f730dd03c440157a66f20fdb5e95f64318c0
com.uniswap.mobile 4dc255504a6c3ea8714ccdc95cc04138dc6c92130887274c8582b4a96ebab4a82. Ağ IOC’leri: Coruna dağıtım adresleri
Google GTIG tarafından UNC6353 ve UNC6691 faaliyetleriyle ilişkilendirildiği belirtilen alan adı göstergeleri:
| Alan adı | Açıklama |
|---|---|
cdn[.]uacounter[.]com | UNC6353 kampanyasında kullanılan Coruna exploit framework dağıtım adresi |
ai-scorepredict[.]com | UNC6691 ile ilişkilendirilen dağıtım altyapısı |
goodcryptocurrency[.]top | Sahte kripto para sitesi üzerinden exploit dağıtımı |
pepeairdrop01[.]com | Sahte kripto para / airdrop temalı dağıtım adresi |
m[.]pc6[.]com | Coruna araştırmasıyla ilişkilendirilen web altyapısı |
ddus17[.]com | İlişkili dağıtım alan adı |
iosec2[.]668ddf[.]cc | İlişkili web dağıtım altyapısı |
ios[.]teegrom[.]top | iOS hedefli exploit dağıtım adresi |
3v5w1km5gv[.]xyz | Coruna exploit içeriğinin tespit edildiği örnek alan adı |
share[.]4u[.]game | İlişkili dağıtım altyapısı |
26a[.]online | İlişkili dağıtım alan adı |
binancealliancesintro[.]com | Sahte finans / kripto temalı dağıtım altyapısı |
4u[.]game | İlişkili web altyapısı |
b27[.]icu | İlişkili dağıtım alan adı |
h4k[.]icu | İlişkili dağıtım alan adı |
seven7[.]vip | İlişkili dağıtım alan adı |
7uspin[.]us | İlişkili dağıtım alan adı |
4kgame[.]us | İlişkili dağıtım alan adı |
7p[.]game | İlişkili dağıtım alan adı |
m[.]pc6[.]com büyük bir yazılım indirme portalıdır. cside’ın değerlendirmesine göre bu adres, büyük olasılıkla ele geçirilmiş meşru bir sayfaya işaret etmektedir. Engellemeden önce kendi ağ trafiğinizde doğrulayın.
3. PLASMAGRID C2 alan adları
Alan adı üretme algoritması (DGA) ile oluşturulduğu belirtilen, çoğunlukla 15 karakterli .xyz alan adları (bildirilen tohum: lazarus):
vvri8ocl4t3k8n6[.]xyz
rlau616jc7a7f7i[.]xyz
ol67el6pxg03ad7[.]xyz
6zvjeulzaw5c0mv[.]xyz
ztvnhmhm4zj95w3[.]xyz
v2gmupm7o4zihc3[.]xyz
pen0axt0u476duw[.]xyz
hfteigt3kt0sf3z[.]xyz
xfal48cf0ies7ew[.]xyz
yvgy29glwf72qnl[.]xyz
lk4x6x2ejxaw2br[.]xyz
2s3b3rknfqtwwpo[.]xyz
xjslbdt9jdijn15[.]xyz
hui4tbh9uv9x4yi[.]xyz
xittgveqaufogve[.]xyz
xmmfrkq9oat1daq[.]xyz
lsnngjyu9x6vcg0[.]xyz
gdvynopz3pa0tik[.]xyz
o08h5rhu2lu1x0q[.]xyz
zcjdlb5ubkhy41u[.]xyz
8fn4957c5g986jp[.]xyz
uawwydy3qas6ykv[.]xyz
sf2bisx5nhdkygn3l[.]xyz
roy2tlop2u[.]xyz
gqjs3ra34lyuvzb[.]xyz
eg2bjo5x5r8yjb5[.]xyz
b38w09ecdejfqsf[.]xyz4. Ekim 2026: DeadTag ve yeni dağıtım IOC’leri
iVerify ve Report URI’nin Ekim 2026’da yayımladığı araştırmalarda, eski reklam ve analitik servislerine ait süresi dolmuş alan adlarının yeniden kaydedilerek zararlı içerik dağıtımında kullanıldığı açıklandı. Report URI, kampanyada 660’tan fazla süresi dolmuş ve yeniden kaydedilmiş alan adı tespit etti. Ohey’in analizinde Coruna dağıtım zinciriyle ilişkilendirilen yeni alan adları ve URL yolları da yer alıyor.
Yeni dağıtım alan adları
| Alan adı | Açıklama |
|---|---|
js[.]apiforxwork[.]com | Coruna iframe wrapper dağıtımı |
js[.]apiforxwork[.]net | Exploit dispatcher yükleme adresi |
1x8gmjbdq3tepgr[.]icu | IP senkronizasyonu ve beacon endpoint altyapısı |
URL ve URI göstergeleri
| URL / URI | Açıklama |
|---|---|
/qqtime/qqtime.html | Coruna exploit dispatcher yükleme yolu |
/api/ip-sync/sync | IP adresi, cihaz sürümü ve alan adı bilgilerinin gönderildiği beacon endpoint |
JavaScript davranış göstergeleri
| Gösterge | Açıklama |
|---|---|
globalThis.obChTK | Base64 çözümlemesinden sonra oluşturulan dispatcher nesnesi |
hPL3On, ZKvD0e, po3QmN, eW4__H | Dispatcher modül metotları |
channelCode | Beacon isteğinde kullanılan alan |
deviceVersion | Cihaz ve işletim sistemi sürüm bilgisi |
aria-hidden="true", tabindex="-1" | Gizli iframe özellikleri |
Zeyneb TÜRKMEN
Merve ÇELİKKOL
Yavuzhan Özgen
Nilgün ALPAR