🏴‍☠️ Coruna iOS Exploit Kit: Исследование CVE-2024-23222

📌 Обзор

Этот репозиторий содержит всесторонний технический анализ и исследование деобфускации эксплойт-кита Coruna для iOS. Исследование посвящено документированию того, как цепочка эксплойтов использует CVE-2024-23222 — уязвимость типа confusion высокого уровня серьезности в движке JavaScriptCore (JSC) WebKit — для достижения удаленного выполнения кода (RCE).

🔗 Ссылки и благодарности

• Источник уязвимости: Sploitus — Подробности эксплойта CVE-2024-23222
• Первоначальный исследователь: Анализ Coruna от 34306

---

🏗️ Архитектура цепочки эксплойта

Поток выполнения разделен на несколько сложных этапов:

• Определение платформы: Идентификация версий iOS, проверка режима блокировки и статуса симулятора через platform_module.js.
• Этап 1: Примитивы памяти WASM: Использование повреждения памяти на основе WASM для построения примитивов addrof и fakeobj.
• Этап 2: Обход PAC: Повреждение таблиц vtable итератора Intl.Segmenter для перенаправления вызовов виртуальных методов через гаджеты ARM64 для подписи PAC.
• Этап 3: Побег из песочницы: Оркестрация парсинга Mach-O и разрешения символов для выхода из песочницы WebKit.
• Этапы 4–6: Доставка полезной нагрузки: Финальная доставка зашифрованного бинарного блоба и загрузчика PLASMAGRID.

---

📂 Структура репозитория

---

📊 Соответствие MITRE ATT&CK®

• Начальный доступ: T1190 - Эксплуатация общедоступного приложения
• Выполнение: T1059 - Интерпретатор команд и скриптов (JavaScript)
• Повышение привилегий: T1068 - Эксплуатация для повышения привилегий
• Обход защиты: T1574.001 - Перехват потока выполнения: Отравление кэша кода

---

🧪 Методология деобфускации

Анализ включал обратное проектирование нескольких слоев обфускации, примененных к исходному коду:

• XOR-закодированные строки: Сопоставление кодов символов для обхода статического анализа.
• SHA1-ключевая модульная система: Идентификация асинхронных модулей через хеширование имен файлов SHA256.
• XOR-маскированные константы: Декодирование числовых значений, скрытых с помощью побитовых операций XOR.

---

⚠️ Отказ от ответственности

Это исследование предназначено только для образовательных и защитных целей. Несанкционированное тестирование на сторонних устройствах строго запрещено и может быть незаконным.