🏴‍☠️ Kit de Exploração Coruna para iOS: Pesquisa CVE-2024-23222

📌 Visão Geral

Este repositório contém uma análise técnica abrangente e pesquisa de desofuscação do Kit de Exploração Coruna para iOS. A pesquisa foca em documentar como a cadeia de exploração visa a CVE-2024-23222 — uma vulnerabilidade de confusão de tipos de alta gravidade no motor JavaScriptCore (JSC) do WebKit para alcançar Execução Remota de Código (RCE).

🔗 Referências e Créditos

Fonte da Vulnerabilidade: Sploitus - Detalhes da Exploração CVE-2024-23222
Pesquisador Original: Análise Coruna por 34306

🏗️ Arquitetura da Cadeia de Exploração

O fluxo de execução é dividido em várias etapas sofisticadas:

Detecção de Plataforma: Identificando versões do iOS, verificando o modo de bloqueio e o status do simulador via platform_module.js.
Estágio 1: Primitivas de Memória WASM: Utilizando corrupção de memória baseada em WASM para construir primitivas addrof e fakeobj.
Estágio 2: Bypass do PAC: Corrompendo vtables do iterador Intl.Segmenter para redirecionar chamadas de método virtual através de gadgets ARM64 para assinatura PAC.
Estágio 3: Fuga da Sandbox: Orquestrando análise Mach-O e resolução de símbolos para escapar da sandbox do WebKit.
Estágios 4-6: Entrega do Payload: Entrega final do blob binário criptografado e do estagiador PLASMAGRID.

📂 Estrutura do Repositório

📊 Mapeamento MITRE ATT&CK®

Acesso Inicial: T1190 – Exploração de Aplicação Exposta ao Público
Execução: T1059 – Interpretador de Comandos e Scripts (JavaScript)
Escalação de Privilégios: T1068 – Exploração para Escalação de Privilégios
Evasão de Defesa: T1574.001 – Sequestro de Fluxo de Execução: Envenenamento de Cache de Código

🧪 Metodologia de Desofuscação

A análise envolveu reverter várias camadas de ofuscação aplicadas ao código-fonte original:

Strings Codificadas com XOR: Mapeamento de códigos de caracteres para contornar análise estática.
Sistema de Módulos com Chave SHA1: Identificando módulos assíncronos via hash SHA256 de nomes de arquivos.
Constantes Mascaradas com XOR: Decodificação de valores numéricos ocultos via operações XOR bit a bit.

⚠️ Aviso Legal

Esta pesquisa é apenas para fins educacionais e de segurança defensiva. Testes não autorizados em dispositivos de terceiros são estritamente proibidos e podem ser ilegais.

`exploit_trigger.js`	Ponto de entrada principal para orquestrar a cadeia de exploração.
`utility_module.js`	Estrutura central para conversões de tipo de baixo nível e aritmética Int64.
`stage1_wasm_primitives.js`	Implementação de primitivas de leitura/escrita de memória baseadas em WASM.
`stage2_pac_bypass.js`	Lógica de bypass do Código de Autenticação de Ponteiro (PAC).
`stage3_sandbox_escape.js`	Construtor de payload Mach-O e orquestração de fuga da sandbox.
`fingerprint.js`	Módulo de telemetria e detecção de IP.

Mais Populares

CVE-2024-23222-Coruna-Exploit-Kit-Deobfuscated