Kit de exploração mira iPhones com iOS 13 a 17.2.1 e rouba dados bancários

O Google divulgou nesta terça-feira (3) um alerta sobre um novo kit de exploração, batizado de Coruna, capaz de controlar iPhones com versões do sistema entre o iOS 13.0 e o iOS 17.2.1. Segundo a empresa, o pacote de falhas permite que invasores acessem o aparelho e obtenham informações financeiras dos usuários.

Os sistemas afetados foram distribuídos pela Apple entre setembro de 2019 e dezembro de 2023. Para reduzir o risco, a recomendação é instalar uma edição mais recente do iOS. O procedimento é realizado em Ajustes > Geral > Atualização de Software.

Como o Coruna invade o telefone

O kit explora brechas de segurança reconhecidas pela Apple em janeiro de 2024. O ataque começa quando a vítima acessa páginas maliciosas que hospedam o código. Após romper as camadas de proteção do iPhone, o Coruna instala o PlasmaLoader, programa que obtém privilégios elevados no sistema.

Com permissão avançada, o PlasmaLoader vasculha o dispositivo em busca de:

Expressões como “conta bancária” em anotações;
Endereços ocultos em QR codes salvos em imagens;
Frases de recuperação de carteiras de criptomoedas.

De acordo com o Google, a versão mais recente do iOS bloqueia o Coruna. Caso o usuário não possa atualizar, a orientação é ativar o Modo de Isolamento (Lockdown Mode), função que restringe recursos do aparelho para aumentar a segurança de perfis mais visados.

Campanhas identificadas em 2025

Especialistas do Google Threat Intelligence Group (GTIG) encontraram o Coruna em fevereiro de 2025. O conjunto de falhas foi empregado por um cliente de empresa de vigilância digital para ataques direcionados. Antes de disparar a invasão, o kit coletava informações como modelo do iPhone e versão do iOS, permitindo selecionar o código mais adequado.

A mesma ferramenta foi atribuída a um grupo de espionagem russo, que a utilizou contra alvos na Ucrânia desde julho de 2025. Nesse cenário, o exploit só era liberado caso o site fosse acessado por aparelhos em uma região específica.

O uso mais recente ocorreu em dezembro de 2025, quando golpistas chineses criaram páginas falsas de apostas e criptomoedas. Os sites exibiam o aviso: “Esta página foi otimizada apenas para dispositivos iOS. Acesse-a de um iPhone ou um iPad”. Quem seguisse a instrução tornava-se alvo do Coruna.

Para conter a ameaça, o Google adicionou os endereços suspeitos à lista do recurso Navegação Segura, que impede o carregamento dessas páginas no Chrome.

Pesquisadores observam que a disseminação do Coruna indica um mercado ativo de ferramentas de invasão “de segunda mão”. Segundo eles, diferentes agentes de ameaça conseguem comprar ou adaptar técnicas avançadas, combinando-as a vulnerabilidades recém-encontradas para prolongar a eficácia dos ataques.

Com informações de G1