🏴‍☠️ Coruna iOS Exploit Kit: CVE-2024-23222 Forschung

📌 Überblick

Dieses Repository enthält eine umfassende technische Analyse und Deobfuskationsforschung des Coruna iOS Exploit Kits. Die Forschung konzentriert sich auf die Dokumentation, wie die Exploit-Kette auf CVE-2024-23222 abzielt – eine schwerwiegende Typverwirrungsschwachstelle in WebKits JavaScriptCore (JSC)-Engine, um Remote Code Execution (RCE) zu erreichen.

🔗 Referenzen und Danksagungen

• Schwachstellenquelle: Sploitus – CVE-2024-23222 Exploit-Details
• Ursprünglicher Forscher: Coruna Analysis von 34306

---

🏗️ Architektur der Exploit-Kette

Der Ausführungsablauf ist in mehrere anspruchsvolle Stufen unterteilt:

• Plattformerkennung: Identifizieren von iOS-Versionen, Überprüfen des Lockdown-Modus und des Simulatorstatus über platform_module.js.
• Stufe 1: WASM-Speicherprimitiven: Nutzung von WASM-basierter Speicherkorruption zur Erstellung von addrof- und fakeobj-Primitiven.
• Stufe 2: PAC-Umgehung: Korrumpieren der Intl.Segmenter-Iterator-VTables, um virtuelle Methodenaufrufe durch ARM64-Gadgets zur PAC-Signierung umzuleiten.
• Stufe 3: Sandbox-Escape: Orchestrieren von Mach-O-Parsing und Symbolauflösung, um aus der WebKit-Sandbox zu entkommen.
• Stufen 4-6: Payload-Auslieferung: Endgültige Auslieferung des verschlüsselten Binärblobs und des PLASMAGRID-Stagers.

---

📂 Repository-Struktur

---

📊 MITRE ATT&CK® Mapping

• Erstzugriff: T1190 – Exploit Public-Facing Application
• Ausführung: T1059 – Command and Scripting Interpreter (JavaScript)
• Rechteausweitung: T1068 – Exploitation for Privilege Escalation
• Umgehung der Verteidigung: T1574.001 – Hijack Execution Flow: Code Cache Poisoning

---

🧪 Deobfuskationsmethodik

Die Analyse umfasste die Umkehrung mehrerer auf die Originalquelle angewendeter Obfuskationsschichten:

• XOR-kodierte Zeichenketten: Abbildung von Zeichencodes zur Umgehung der statischen Analyse.
• SHA1-schlüsselbasiertes Modulsystem: Identifizieren asynchroner Module über SHA256-Dateinamen-Hashing.
• XOR-maskierte Konstanten: Dekodieren numerischer Werte, die durch bitweise XOR-Operationen verborgen sind.

---

⚠️ Haftungsausschluss

Diese Forschung dient ausschließlich zu Bildungs- und Verteidigungszwecken. Nicht autorisierte Tests auf Geräten Dritter sind strengstens untersagt und können illegal sein.