Kaspersky dementiert US-Ursprung von iPhone-Exploit Coruna

Kaspersky bestreitet einen US-Geheimdienstursprung des hochkomplexen iPhone-Exploit-Kits "Coruna", das auf bekannten Schwachstellen basiert. Die Herkunft bleibt unklar, während Apple die Lücken bereits geschlossen hat.

Kaspersky weist Spekulationen über einen US-Geheimdienstursprung des iPhone-Exploit-Kits "Coruna" entschieden zurück. Das russische Cybersicherheitsunternehmen reagierte damit auf einen Bericht von Google, der eine hitzige Bedatte über die Herkunft der mächtigen Cyberwaffe ausgelöst hatte. Die Diskussion ist brisant, weil das Kit Schwachstellen nutzt, die bereits bei einer früheren, mutmaßlich US-geführten Spionagekampagne gegen Kaspersky zum Einsatz kamen.

Was steckt hinter dem "Coruna"-Kit?

Googles Threat Intelligence Group beschrieb das "Coruna"-Kit diese Woche erstmals im Detail. Es handelt sich um eine hochkomplexe Sammlung von 23 einzelnen Exploits, die fünf vollständige Angriffsketten gegen iPhones mit iOS 13.0 bis 17.2.1 ermöglichen. Das Werkzeug kann mehrere Sicherheitsebenen von Apple durchbrechen und so tiefgreifende Kontrolle über ein Gerät erlangen.

Anzeige

Begriffe wie iOS-Versionen oder Exploit-Ketten können für Laien verwirrend sein, sind aber entscheidend für die Sicherheit des eigenen Geräts. Dieses Gratis-Lexikon erklärt die 53 wichtigsten iPhone-Begriffe in einfachen Worten – inklusive Aussprachehilfen. In 10 Minuten die Apple-Sprache verstehen

Die Verbreitung erfolgt laut Google über sogenannte Watering-Hole-Angriffe. Opfer müssen nur eine präparierte Webseite besuchen. Das Kit erkennt den speziellen "Lockdown Mode" von Apple und bricht den Angriff dann ab, um unentdeckt zu bleiben. Besorgniserregend ist seine Reise durch die Unterwelt: Zuerst nutzte es ein Kunde eines kommerziellen Überwachungsanbieters, dann eine mutmaßlich russische Spionagegruppe gegen ukrainische Ziele und zuletzt eine chinesische Hackergruppe in breiten Kampagnen.

Warum der Verdacht auf die USA fiel

Die Spekulationen über einen US-Ursprung kamen nicht von ungefähr. Sicherheitsexperten von iVerify wiesen auf technische Ähnlichkeiten mit früheren Frameworks hin, die US-Akteuren zugeschrieben werden. Rocky Cole, Mitgründer von iVerify und Ex-NSA-Mitarbeiter, sagte, das Kit trage die Handschrift staatlicher Werkzeuge, deren Entwicklung Millionen gekostet habe.

Der Verdacht erhärtete sich, weil zwei der genutzten Exploits – "Photon" und "Gallium" – bereits bei der "Operation Triangulation" 2023 verwendet wurden. Damals hatte Kaspersky eine Spionagekampagne aufgedeckt, die iPhones seiner Mitarbeiter über eine unsichtbare iMessage kompromittierte. Die russische Regierung machte damals die USA verantwortlich. Die Wiederverwendung derselben Schwachstellen legte für viele Beobachter eine Verbindung nahe.

Anzeige

Wer sich vor komplexen Angriffen schützen möchte, muss die grundlegenden Sicherheitsfunktionen seines Geräts sicher beherrschen. Das kostenlose Starterpaket zeigt iPhone-Einsteigern Schritt für Schritt, wie sie ihr Smartphone richtig einrichten und gegen Gefahren absichern. Kostenlosen Ratgeber für iPhone-Einsteiger sichern

Kaspersky widerspricht: Keine Beweise für direkte Verbindung

Trotz der gemeinsamen technischen Basis sieht Kaspersky keine Belege für identische Entwickler. Boris Larin, leitender Sicherheitsforscher des Unternehmens, erklärte, die Berichte enthielten keinen Beweis für eine Wiederverwendung von Code. Die Nutzung derselben Schwachstellen allein reiche für eine solche Zuschreibung nicht aus.

Aus Sicht des Unternehmens könnten verschiedene Akteure unabhängig voneinander Exploits für dieselben Lücken entwickelt haben – oder das Wissen wurde auf einem aktiven Markt gehandelt. Diese Einschätzung hat Gewicht, da Kaspersky selbst Ziel der ursprünglichen Angriffe war und tiefe Einblicke in die damaligen Tools hat.

Wenn staatliche Cyberwaffen entkommen

Der Fall "Coruna" zeigt ein wachsendes Problem: die Verbreitung hochentwickelter Cyberwaffen. Ähnlich wie beim NSA-Exploit "EternalBlue", der später für WannaCry missbraucht wurde, wandert hier ein Werkzeug von staatlichen Akteuren zu Spionen und schließlich zu Kriminellen. Dieser florierende Second-Hand-Markt untergräbt die Sicherheit aller Nutzer.

Die gute Nachricht: Gegen aktuelle iOS-Versionen ist das Kit wirkungslos. Apple hat die Schwachstellen bereits geschlossen. Die wirksamste Schutzmaßnahme bleibt die sofortige Aktualisierung aller Geräte. Der "Lockdown Mode" bietet zusätzlichen Schutz. Die Untersuchung der Herkunft von "Coruna" dauert jedoch an und zeigt erneut die unberechenbaren Risiken staatlicher Cyberwaffen.