米国政府のiPhoneハッキングツールキットが、外国諸勢力や犯罪者の手に渡っている可能性があります。

iPhoneをハッキングする技術で、単にウェブサイトへアクセスするだけで任意のiOSデバイスを乗っ取ることができるものは、サイバーセキュリティの世界では極めて珍しく衝撃的な出来事です。今回、複数の大規模iPhone攻撃キャンペーンの中心にある強力なハッキングツールキット――「Coruna」が、さらに稀で不気味な道を歩み始めました。これまでロシア諸国からウクライナ人を標的としたスパイ活動に使われていたものが、中国語話者の被害者から暗号通貨を盗むサイバー犯罪オペレーションへと移行し、最初は米国の請負業者によって作られ、米政府に売却された可能性が示唆されています。

Google のセキュリティ研究者は火曜日に「Coruna」という高度に洗練されたiPhoneハッキングツールキットについて報告書を公開しました。このツールキットには、デバイスが悪意のあるウェブサイトを訪れた際にマルウェアを静かにインストールできる、全てのiPhone防御策を回避する5つの完全な手法が含まれています。Coruna は iOS の 23 個別脆弱性を悪用しており、これは非常にリソースの豊富で恐らく国家支援を受けたグループによるものと示唆する希少なコレクションです。

Google は Coruna の構成要素が昨年2月に検出されたハッキング手法に起因すると追跡し、これまで「監視会社の顧客」だけに帰属されていたとしています。5か月後、Google は Coruna のより完全なバージョンが疑わしいロシア諸国スパイグループによる情報収集キャンペーンで再登場し、コードをウクライナのウェブサイトに一般的な訪問数カウンタコンポーネントとして隠していたことを報告しました。最後に Google は Coruna を純粋に利益志向のハッキングキャンペーンで再び発見し、中国語の暗号通貨およびギャンブルサイトに感染させ、被害者から暗号通貨を盗むマルウェアを配信していました。

報告書には元の監視会社「顧客」が誰だったかは明示されていません。モバイルセキュリティ企業 iVerify は、中国語サイトで検出された Coruna のバージョンを分析し、コードが米国政府に対して構築または購入されたハッキングキットとして始まった可能性があると示唆しています。Google と iVerify の両方とも、Coruna に「Triangulation」という 2023 年のハッキングオペレーションで使用された複数のコンポーネントが含まれていることを指摘しており、これはロシア政府が NSA の仕事だと主張したものです（米国はロシアの主張に対応しませんでした）。

iVerify の共同創設者 Rocky Cole は、Coruna のコードは英語話者の開発者によって書かれたもので、「非常に洗練されており、数百万ドルを費やして開発された」と述べています。Cole は WIRED に対し、これは米国政府が作ったと考えられるツールが制御不能になり、敵対勢力やサイバー犯罪グループに利用されるという最初の例であると語っています。

EternalBlue の瞬間

Coruna の起源に関係なく、Google は非常に価値の高いツールキットが想定外の手を経て広まったことを警告し、現在は iPhone ユーザーを標的とするハッカーグループによって採用または改変される可能性があると指摘しています。「この拡散がどのように起きたかは不明ですが、『中古』ゼロデイ脆弱性の活発な市場が存在していることを示唆しています」と報告書は述べています。さらに、「これらの既知の脆弱性以外にも、複数の脅威アクターが新たに特定された脆弱性で再利用・改変可能な高度な悪用技術を取得している」とも記載しています。

Cole は Coruna が米国政府向けに作られたツールとして始まった場合、米国政府に対して販売または開発された高度なハッキングツールが敵対勢力に漏れるというモバイルデバイスセキュリティへの疑問を提起しています。「これはモバイルマルウェアのエターナルブルー瞬間だ」と彼は語ります。エターナルブルーは NSA から盗まれ、2017 年にリークされた Windows ハッキングツールで、北朝鮮の WannaCry ワームやロシアの NotPetya のような壊滅的攻撃を引き起こしました。

Google は Coruna が使用していた脆弱性は iOS 26 でパッチが当てられたため、iOS 13 から 17.2.1 に対してのみ検証されたと述べています。このツールキットは Apple の WebKit フレームワークのブラウザ向け脆弱性を狙っているため、Safari ユーザーが該当バージョンであれば脆弱です。Chrome ユーザーを標的にする確認済み技術はありません。また、Google は Coruna が iOS デバイスに Apple の最も厳格なセキュリティ設定「Lockdown Mode」が有効になっているかどうかをチェックし、有効であればハッキングを試みないことも報告しています。

これらの制限にも関わらず、iVerify は Coruna が数万台の電話に感染した可能性が高いと推定しています。同社はネットワークトラフィックへのアクセス権を持つパートナーと協力し、中国語サイトでサイバー犯罪版の Coruna に感染しているコマンド＆コントロールサーバーへの訪問数をカウントしました。その量から、利益目的のキャンペーンだけでも約42,000 台のデバイスがすでにハッキングされていると見積もっています。ロシア諸国スパイオペレーションによって感染したウェブサイトを訪れたウクライナ人など、その他の被害者数は不明です。

Google は公開報告書以外のコメントを控えました。Apple からも Google や iVerify の調査結果について即座にコメントはありませんでした。

単一で非常にプロフェッショナルな作者

iVerify がサイバー犯罪版 Coruna を分析した際、以前のバージョンへのアクセスがない中で、コードが暗号通貨ウォレットを放水し、写真やメール（場合によっては）を盗むマルウェアを植え付けるように変更されていることが判明しました。これらの追加機能は、iVerify のチーフプロダクトオフィサー Spencer Parker によれば、基盤となる Coruna ツールキットと比べ「粗雑に書かれている」と評価されています。Parker は Coruna に含まれるエクスプロイトが印象的に磨き上げられモジュラーである一方、後から追加されたマルウェアはより粗いものだと指摘しています。

Cole はもう一つの説明として、Coruna のコードとロシアが米国ハッカーに押し付けた「Triangulation」マルウェアとの重複が、発見後に Triangulation のコンポーネントを再利用した結果である可能性も挙げています。しかし Cole はそれは起こりにくいと主張し、多くの未確認コンポーネントや「単一作者」作業としてツールキットが現れたことを根拠にしています。

「もし Coruna が実際に米国ハッキングツールキットで、異常に外部へ漏れたのであれば、それが外国および犯罪者の手に渡った経緯は謎のままです」と Cole は述べています。彼は、諜報・サイバー犯罪・サイバー戦争のためにゼロデイ技術を再販できるブローカー業界が存在し、数千万ドルで購入されるケースもあると指摘しています。注目すべきは、米国政府請負業者 Trenchant の幹部 Peter Williams が今月、2022 年から 2025 年にかけてロシアのゼロデイブローカー「Operation Zero」にハッキングツールを販売したとして七年懲役判決を受けたことです。Williams の投獄メモでは Trenchant が米国情報機関だけでなく、Five Eyes（米国・英国・オーストラリア・カナダ・ニュージーランド）の政府にもハッキングツールを販売したと記載されていますが、具体的にどのツールやデバイスが対象だったかは不明です。

「ゼロデイおよびエクスプロイトブローカーはしばしば無責任である」と Cole は語ります。「彼らは最高入札者に売り、二重に利益を得る。多くの場合、排他契約がない。ここではまさにそうしたケースだと思われます」。結論として、「これらのツールのうち一つが西洋以外のエクスプロイトブローカーの手に渡り、支払意欲のある者へ販売された結果、ジーニーは瓶から出てしまった」と彼は締めくくります。