Coruna 攻擊套件如何從監控工具轉變為加密貨幣竊取工具？

Question

Accepted Answer

Coruna 從監控工具轉向加密貨幣竊取，是因為攻擊鏈的「資料型態」被重寫：從通訊與身份線索，改為助記詞、私鑰與錢包控制權

Coruna 在 2025 年 2 月被首次發現時，是由私人監視廠商提供給政府客戶，用於鎖定政治人物與異議人士的精準監控；但到 2025 年夏季，與俄羅斯政府有關聯的駭客組織 UNC6353 接手後，攻擊用途落到針對烏克蘭公民的地緣政治諜報。真正的轉折出現在 2025 年底至 2026 年初，當中國駭客組織 UNC6691 取得該技術後，攻擊重心改為「劫掠數位資產」，把針對特定目標的情報獲取，轉成對普通加密貨幣持有者的大規模財富掠奪，這意味著它不再以蒐集為終點，而以取得可立即變現的憑證為終點。
轉變的關鍵不是更強的利用，而是把利用鏈接到「錢包憑證」與「資金轉移」流程

Coruna 內部整合 23 個漏洞並形成 5 條攻擊鏈，受影響範圍涵蓋 iOS 13.0 至 iOS 17.2.1；這種規模的漏洞整合本身仍可服務監控用途，但它在犯罪化後的輸出對準了金融竊取。其機制是先用水坑攻擊誘入受害者：入侵或架設偽造的加密貨幣交易所與金融網站（例如偽造 WEEX 交易平台），再透過搜尋引擎優化與付費廣告提升曝光，最後在符合 iOS 條件時自動觸發零點擊滲透，讓受害者不需互動就被納入感染流程。當裝置權限取得後，PlasmaLoader 會掃描「backup phrase」、「bank account」、「seed phrase」，並從簡訊與備忘錄提取資料，這些都是可直接對應到錢包控制的敏感要素，而非一般監控常見的通訊或行為線索。
監控到竊取的「商品化」體現在自動化程度：它能跨媒介抓取助記詞，並擴大目標面到主流錢包

Coruna 的自動化與隱蔽性，使其能把一次性入侵轉成可規模複製的掠奪流程。它具影像辨識能力，可掃描相簿截圖中的錢包助記詞或私鑰 QR Code，並進一步針對主流加密錢包 App（如 MetaMask、Uniswap）嘗試提取敏感資訊以取得錢包控制權；在多宗已知案例中，受害者資金在訪問偽造網站後短時間內遭轉移，顯示後續處理已被打通到可變現的資金移轉。更重要的是，Google 報告指出它對 iOS 17.3 或更高版本完全無效，反映其攻擊是針對特定系統弱點的「可部署工具」，一旦被犯罪團伙取得，就能把原本偏情報蒐集的高階能力，改造成以憑證取得與資金快速轉移為核心的金融犯罪武器。

閱讀紀錄

隱藏 →

此記錄會在頁面關閉後消失

Coruna 攻擊套件如何從監控工具轉變為加密貨幣竊取工具？

Loading

你覺得這篇文章有幫助嗎？

有幫助

沒幫助

回報問題

1

0

0

分享給好友