Das iPhone gilt als eines der sichersten Smartphones auf dem Markt. Apple legt großen Wert auf Datenschutz, Verschlüsselung und regelmäßige Sicherheitsupdates. Trotzdem tauchen immer wieder neue Angriffstechniken auf, die versuchen, Schwachstellen im System auszunutzen.
Aktuell sorgt ein Exploit-Toolkit mit dem Namen Coruna für Aufmerksamkeit in der IT-Sicherheitsbranche. Dieses Toolkit nutzt eine Reihe von Sicherheitslücken in älteren iOS-Versionen aus und kann sich unter bestimmten Umständen über manipulierte Webseiten verbreiten. Besonders problematisch ist, dass das Tool mittlerweile im kriminellen Umfeld kursiert.
Die Analysen zeigen außerdem Hinweise darauf, dass das Toolkit ursprünglich aus einem staatlichen Umfeld stammen könnte und später auf dem Schwarzmarkt weiterverkauft wurde.
Die Informationen zu diesem Thema stammen aus einem Bericht des US-Magazins Wired. Grundlage des Artikels sind technische Analysen der Google Threat Intelligence Group sowie der Sicherheitsfirma iVerify.
Google untersuchte dabei die technische Funktionsweise des Exploit-Toolkits und dessen Verbreitung. iVerify analysierte zusätzlich den Code des Tools und fand Hinweise auf mögliche Ursprünge und Entwicklungsmuster.
Laut den beteiligten Forschern handelt es sich bei Coruna um ein besonders komplexes Angriffswerkzeug, das mehrere Sicherheitslücken gleichzeitig ausnutzen kann. Inzwischen scheint es im Cybercrime-Milieu verbreitet zu sein und wurde bereits bei verschiedenen Angriffen eingesetzt.
Das Coruna-Toolkit: Aufbau und Funktionsweise
Beim Coruna-Toolkit handelt es sich um ein Exploit-System mit fünf verschiedenen Angriffstechniken, das insgesamt 23 Sicherheitslücken in iOS ausnutzt.
Diese Schwachstellen betreffen vor allem ältere Versionen des Betriebssystems. Ein Angriff kann unter Umständen bereits ausgelöst werden, wenn ein Nutzer mit einem anfälligen iPhone eine manipulierte Webseite besucht.
Das Toolkit konzentriert sich hauptsächlich auf Schwachstellen in WebKit. WebKit ist die Browser-Engine von Apple und ein zentraler Bestandteil von Safari sowie vielen anderen Funktionen im iPhone-System.
Durch das Ausnutzen dieser Lücken können Angreifer Zugriff auf das Gerät erlangen und anschließend weitere Schadsoftware installieren oder Daten auslesen.
Betroffene iOS-Versionen und iPhone-Geräte
Nach den vorliegenden Analysen betrifft das Coruna-Toolkit iPhones mit iOS-Versionen zwischen iOS 13 und iOS 17.2.1. Diese Versionen decken einen Zeitraum von:
- September 2019 (iOS 13)
- bis Dezember 2023 (iOS 17.2.1)
Geräte mit diesen Versionen können unter bestimmten Umständen durch das Toolkit angegriffen werden.
Apple hat jedoch Sicherheitsmaßnahmen ergriffen. Neben früheren Sicherheitsupdates, die bereits einzelne Schwachstellen geschlossen haben, wurde das Toolkit mit iOS 26 gezielt neutralisiert.
Laut aktuellen Zahlen hatten 74 Prozent der iPhones, die iOS 26 unterstützen, das Update bereits bis zum 12. Februar installiert.
Schutzmaßnahmen für iPhone-Nutzer
Die wichtigste Maßnahme zum Schutz vor Coruna ist ein aktuelles Betriebssystem. Wer ein iPhone nutzt, sollte sicherstellen, dass das Gerät auf die neueste verfügbare iOS-Version aktualisiert ist.
Das Update auf iOS 26 sorgt laut Apple dafür, dass die bekannten Exploits aus dem Toolkit nicht mehr funktionieren. Darüber hinaus enthält iOS einen speziellen Sicherheitsmodus, den sogenannten Lockdown-Modus.
Dieser Modus ist besonders restriktiv und schränkt verschiedene Funktionen ein, um gezielte Cyberangriffe zu verhindern. Das Coruna-Toolkit prüft aktiv, ob dieser Modus aktiviert ist. Falls der Lockdown-Modus eingeschaltet ist, führt das Toolkit keinen Angriff aus.
Der Lockdown-Modus richtet sich allerdings nicht an normale Nutzer. Er wurde speziell für Personen entwickelt, die ein erhöhtes Risiko für gezielte Cyberangriffe haben, etwa:
- Regierungsmitglieder
- Journalisten
- Aktivisten
- andere öffentlich exponierte Personen
Für die meisten iPhone-Nutzer reicht ein aktuelles Systemupdate aus, um geschützt zu sein.
Hinweise auf eine mögliche Herkunft aus der US-Regierung
Besonders interessant sind die Erkenntnisse von iVerify zur möglichen Herkunft des Tools.
Die Sicherheitsforscher vermuten, dass Coruna ursprünglich im Auftrag der US-Regierung entwickelt wurde. Diese Einschätzung basiert auf mehreren technischen Hinweisen:
- Ähnliche Frameworks wie bei anderen bekannten staatlichen Exploit-Tools
- Ein sehr hohes technisches Entwicklungsniveau
- Englische Kommentare im Programmcode
Rocky Cole, Mitgründer von iVerify, erklärte, dass das Toolkit äußerst aufwendig entwickelt worden sei.
Nach seiner Einschätzung hat die Entwicklung mehrere Millionen Dollar gekostet und weist typische Merkmale von Modulen auf, die bereits öffentlich der US-Regierung zugeschrieben wurden.
Cole bezeichnete Coruna außerdem als eines der ersten bekannten Beispiele dafür, dass ein solches staatliches Tool offenbar außer Kontrolle geraten sein könnte.
Verbreitung über den Schwarzmarkt
Die Analysen deuten darauf hin, dass das Toolkit irgendwann aus seinem ursprünglichen Umfeld heraus gelangt ist. Demnach könnte die US-Regierung die Kontrolle über das Tool durch eine Reihe von Ereignissen verloren haben. Anschließend soll das Toolkit für mehrere Millionen Dollar auf dem Schwarzmarkt verkauft worden sein.
Der Käufer des Tools versuchte offenbar, den Kaufpreis wieder einzuspielen. Dazu wurde eine modifizierte Version des Toolkits weiterverkauft. Durch diese Weiterverkäufe verbreitete sich Coruna zunehmend unter Cyberkriminellen.
Heute existieren verschiedene Varianten des Toolkits, die jeweils für unterschiedliche Zwecke angepasst wurden. In einigen Fällen wurde auf den ursprünglichen Code zusätzlich weniger ausgefeilte Malware aufgesetzt.
Bereits bekannte Angriffe mit Coruna
Die Sicherheitsfirma iVerify schätzt, dass bereits etwa 42.000 Geräte mit einer bestimmten Version des Toolkits kompromittiert wurden. Diese Variante wurde im Rahmen eines chinesischsprachigen Cyberangriffs eingesetzt.
Außerdem wurde das Tool laut den Analysen bei einer russischen Spionageoperation verwendet. Diese soll gegen eine unbekannte Anzahl von Personen in der Ukraine gerichtet gewesen sein.
Diese Fälle zeigen, dass das Toolkit inzwischen nicht mehr nur theoretisch existiert, sondern bereits aktiv in realen Angriffen eingesetzt wurde.
Alternative Theorie zur Herkunft
Rocky Cole erwähnte in seiner Analyse auch eine alternative Theorie zur Entstehung von Coruna. Demnach könnte das Toolkit aus verschiedenen Komponenten der sogenannten Operation Triangulation zusammengesetzt worden sein. Russland hatte diese Operation zuvor US-Hackern zugeschrieben.
Nach genauerer Analyse hält iVerify diese Theorie jedoch für wenig wahrscheinlich.
Die Entwickler von Coruna hätten ein sehr einheitliches und technisch ausgefeiltes System geschaffen. Das spreche dafür, dass es sich um ein groß angelegtes Projekt mit erheblichem Budget handelt und nicht um eine Sammlung einzelner zusammengebauter Module.
iPhone-Sicherheit: Warum regelmäßige Updates entscheidend sind
Der Fall Coruna zeigt, welche Risiken entstehen können, wenn hochentwickelte Hacking-Werkzeuge existieren. Selbst wenn solche Tools ursprünglich für staatliche Ermittlungen oder Geheimdienstoperationen entwickelt wurden, besteht immer die Möglichkeit, dass sie irgendwann in falsche Hände geraten.
Apple hat sich in der Vergangenheit mehrfach gegen Forderungen von Regierungen gestellt, Hintertüren in die Verschlüsselung von iPhones einzubauen. Solche Hintertüren könnten langfristig ein Sicherheitsrisiko darstellen, da sie missbraucht oder gestohlen werden könnten.
Die aktuelle Situation unterstreicht erneut, wie wichtig regelmäßige Updates für das iPhone sind. Solange Geräte auf dem neuesten Stand gehalten werden, bleiben viele bekannte Exploits wirkungslos und das Sicherheitsniveau des Systems bleibt hoch. (Bild: Shutterstock / Pungu x)
- M4 iPad Air: Erste Geekbench-Ergebnisse sind aufgetaucht
- Studio Display XDR unterstützt DICOM-Medizinbilder
- Apple wirbt auf der GDC 2026 für Mac-Gaming
- Studio Display XDR: 120 Hz nur mit bestimmten Macs
- Studio Display & Studio Display XDR ohne Intel-Support
- OpenAI: GPT-5.3 sorgt für besseren Dialog
- Meta Ray-Ban: Datenschutz-Albtraum enthüllt
- Pro Display XDR verschwindet aus dem Sortiment
- MacBook Air M5: Das bringt die neue Generation
- MacBook Pro mit M5 Pro & M5 Max offiziell vorgestellt
- Apple M5 Pro und M5 Max: Mehr Power für Profis
- Apple präsentiert Studio Display & Studio Display XDR
- Apple TV: Keine dritte Staffel für Palm Royale
- Anthropic erleichtert KI-Wechsel mit Import-Tool
- Wo liegt die Datei? Offline Files kennt die Antwort sofort
- iOS 26.4 Beta 3 ist da: Nächster Schritt zum Release
- Paramount plant Mega-Streamingdienst mit HBO
- Apple zeigt neues Zubehör für Frühjahr 2026
- Passt eine iPhone 16e-Hülle auch auf das iPhone 17e?
- iPad Air mit M4 ist da: Das bietet das Update
- iPhone 17e ist da: Das steckt im neuen Modell
- Apple TV überzeugt bei internationalen Preisverleihungen
