Секретные инструменты взлома iPhone попали к российскому брокеру эксплойтов и использовались против Украины

Инструменты для взлома iPhone, разработанные подразделением Trenchant американского оборонного подрядчика L3Harris Technologies, оказались в руках иностранных хакеров и киберпреступников. Расследование, результаты которого опубликованы 10 марта 2026 года, раскрыло маршрут утечки: от западного подрядчика через российского брокера уязвимостей до реальных атак на пользователей в Украине и Китае.

Что представляет собой Coruna

Google сообщил об обнаружении сложного набора средств взлома iPhone под названием Coruna. Комплект включает 23 модуля и изначально предназначался для точечных разведывательных операций. Инструменты были рассчитаны на устройства с iOS версий от 13 до 17.2.1, выпущенных с сентября 2019 по декабрь 2023 года.

Бывшие сотрудники L3Harris подтвердили журналистам, что часть инструментов создало подразделение Trenchant, специализирующееся на технологиях взлома и слежки. Компания продает подобные системы только правительству США и союзникам по разведывательному альянсу Five Eyes.

Роль Operation Zero

Ключевую роль в утечке сыграла компания Operation Zero — российский брокер уязвимостей нулевого дня, работающий с государственными структурами. В 2022–2025 годах бывший руководитель Trenchant Питер Уильямс продал восемь инструментов этой компании за 1,3 млн долларов.

В прошлом месяце суд приговорил Уильямса, гражданина Австралии, к семи годам лишения свободы. Министерство финансов США утверждает, что Operation Zero перепродала похищенные инструменты как минимум одному неавторизованному покупателю.

Атаки на Украину и связь с Операцией Триангуляция

Хакерская группа UNC6353 использовала Coruna для атак на украинских пользователей iPhone. Злоумышленники внедряли вредоносный код на взломанные украинские сайты — при посещении страницы с iPhone устройство автоматически атаковалось. Позднее инструменты перешли к китайским киберпреступникам, которые использовали их для кражи денег и криптовалюты.

Расследование выявило связь с нашумевшей Операцией Триангуляция, которую раскрыла Лаборатория Касперского в 2023 году. В той кампании использовались две уязвимости нулевого дня — Photon и Gallium, которые также присутствуют в наборе Coruna. Борис Ларин из Лаборатории Касперского отметил, что прямых доказательств причастности конкретной группировки пока нет, однако совпадение уязвимостей и временных рамок указывает на общий источник.

Выводы

История Coruna демонстрирует системную проблему рынка кибероружия: инструменты, созданные для спецслужб одной страны, могут оказаться в руках противников через цепочку посредников. Российский брокер Operation Zero стал одним из звеньев этой цепочки, что привело к реальным атакам против пользователей в нескольких странах.

Источник: SecurityLab