Coruna Exploit Kiti: iOS Güvenlik Açıkları ve Saldırı Teknikleri Analizi (2026)

Coruna Exploit Kiti: iOS Güvenlik Açıkları ve Saldırı Teknikleri Analizi (2026)

Coruna, Apple’ın iOS işletim sistemindeki birden fazla güvenlik açığından faydalanarak iPhone cihazlarına sızmayı hedefleyen gelişmiş bir exploit kitidir. Google Tehdit İstihbarat Grubu (GTIG) tarafından Mart 2026’da detaylandırılan bu tehdit, beş farklı exploit zinciri ve toplam 23 exploit içermektedir.

Eylül 2026’da İtalyan dijital adli bilişim şirketi Forenser tarafından yayımlanan araştırma, Coruna ile ilişkilendirilen ve WhatsApp hesaplarının gizlice ele geçirilmesi için kullanılan bir modülü ortaya çıkarmıştır. Bu modül, saldırganların kurbanın WhatsApp hesabına yetkisiz bir cihaz eklemesine, eklenen cihazı kullanıcının listesinden gizlemesine ve saldırgan tarafından gönderilen mesajları kurbanın sohbet ekranından kaldırmasına olanak tanımaktadır.

Ekim 2026’da iVerify ve Report URI tarafından yayımlanan araştırmalar ise Coruna’nın artık sadece hedefli saldırılarda değil, süresi dolmuş üçüncü taraf etiket (tag) alan adları üzerinden binlerce web sitesini etkileyebilen dağıtım zincirlerinde de kullanılabildiğini göstermektedir. Aynı kampanyada DarkSword adlı ikinci bir iOS exploit kiti de kullanılmıştır.

Coruna Exploit Kiti Nasıl Ortaya Çıktı?

Google Tehdit İstihbarat Grubu, Mart 2026’da Coruna isimli iOS exploit kitini kamuoyuna duyurdu. Araştırmaya göre Coruna, iOS 13.0 ile iOS 17.2.1 arasındaki sürümleri hedefleyen beş farklı exploit zincirinden ve toplam 23 exploitten oluşmaktadır.

Saldırı zinciri, kullanıcının Safari üzerinden kötü amaçlı veya ele geçirilmiş bir web sitesini ziyaret etmesiyle başlayabilmektedir. WebKit üzerinden gerçekleştirilen saldırı sonucunda tarayıcı güvenlik sınırları aşılarak, devamındaki işletim sistemi açıkları kullanılarak cihaz üzerinde yüksek yetkili erişim elde edilebilmektedir.

Forenser’ın 28 Eylül 2026 tarihli araştırması ise Coruna ile ilişkili WhatsApp modülünün çalışma şeklini ortaya çıkarmıştır. Araştırmacılar, incelenen iPhone cihazlarında aşağıdaki davranışları gözlemlemiştir:

• Kullanıcıların haberi olmadan WhatsApp hesaplarından mesaj gönderilmesi.
• Saldırgan tarafından eklenen bağlı cihaz (Linked Device) kayıtlarının kullanıcı arayüzünden gizlenmesi.
• Saldırganın gönderdiği mesajların kurbanın sohbet geçmişinde görünmemesi.
• WhatsApp mesajları, telefon numaraları ve profil bilgilerinin ele geçirilmesi.
• Kişilerin iletişim bilgilerinin kullanılmasıyla para taleplerinin daha inandırıcı hâle getirilmesi.

Saldırının cihaz üzerinde, mesajların şifresi çözüldükten sonra gerçekleşmesi dikkat çekicidir. Bu nedenle WhatsApp’ın uçtan uca şifrelemesi, ele geçirilmiş bir cihazda tek başına koruma sağlamamaktadır. Forenser’ın incelediği WhatsApp modülünün Coruna ile bağlantısı bağımsız bir kaynak tarafından henüz doğrulanmış değildir.

Coruna Saldırısı Nasıl Çalışıyor?

Coruna saldırısının temelinde WebKit, iOS çekirdeği (kernel) ve güvenlik mekanizmalarındaki açıkların zincirleme kullanılması bulunmaktadır. Saldırganlar, cihazın iOS sürümünü ve donanım özelliklerini belirleyerek uygun exploit zincirini seçmektedir.

1. Kullanıcı Kötü Amaçlı Web Sitesini Ziyaret Ediyor

Saldırı, Safari üzerinden kötü amaçlı veya ele geçirilmiş bir web sitesinin ziyaret edilmesiyle başlayabilir. Ekim 2026’da yayımlanan DeadTag araştırması, eski reklam ve analitik servislerine ait süresi dolmuş alan adlarının saldırganlar tarafından yeniden kaydedildiğini ve bu alan adlarının hâlâ binlerce web sitesinde bulunan eski script referansları üzerinden kullanıldığını ortaya koymuştur.

Ayrı bir olayda iVerify, bir iPhone kullanıcısının Instagram reklamını kaydırırken DarkSword’ün bir çeşidiyle enfekte olduğunu bildirmiştir. Bu olay Coruna ile değil, DarkSword ile ilişkilidir.

2. Cihaz Parmak İzi ve iOS Sürümü Belirleniyor

Exploit kit, ziyaretçinin cihaz modelini, işlemci mimarisini ve iOS sürümünü belirlemek için cihaz parmak izi (fingerprinting) işlemleri yapar. Elde edilen bilgilere göre uygun exploit zinciri seçilir.

3. WebKit Üzerinden Kod Çalıştırma Sağlanıyor

Coruna, hedef iOS sürümüne uygun WebKit açıklarından yararlanarak tarayıcı sürecinde kod çalıştırmayı hedefler. Bu aşamada CVE-2024-23222, CVE-2023-43000 ve CVE-2022-48503 gibi açıklarla ilişkilendirilmiş exploitler bulunmaktadır.

4. Sandbox ve Kernel Güvenlik Sınırları Aşılıyor

Tarayıcı sürecinde kod çalıştırıldıktan sonra saldırı zinciri sandbox escape, kernel exploit ve PPL bypass tekniklerinden yararlanarak devam eder. Bu aşamanın sonunda cihazda root seviyesinde erişim elde edilebilir.

5. PLASMAGRID İmplantı Yükleniyor

Google’ın analizinde son aşamada PlasmaLoader adı verilen ve PLASMAGRID olarak takip edilen bileşen tanımlanmıştır. Bu bileşen com.apple.assistd kimliğini kullanarak çalışır ve powerd isimli sistem daemon’una enjekte edilir. Ardından saldırganın komuta-kontrol (C2) altyapısıyla iletişim kurarak ek modülleri indirmesi ve çalıştırması mümkün hâle gelir.

6. WhatsApp Sürecine Kötü Amaçlı Modül Yükleniyor

Forenser’ın analizine göre saldırgan, WhatsApp uygulamasının çalışan sürecine kötü amaçlı bir kütüphane yükler. Bu modül, WhatsApp’ın cihaz eşleştirme işlevlerini manipüle ederek saldırganın kontrolündeki bir cihazı, kullanıcı QR kodu taramadan bağlı cihaz (Linked Device) olarak ekleyebilir.

7. Bağlı Cihaz Gizleniyor ve Mesajlar Siliniyor

Modül, WhatsApp’ın Bağlı Cihazlar listesini oluşturan işlevlere müdahale eder. Özellikle LinkedDevicesFirefox ve LinkedDevicesUnknownDevice olarak tanımlanan cihaz kayıtları listeden çıkarılabilir. Saldırganın gönderdiği mesajlar da ilgili cihazın JID bilgisine göre filtrelenerek kurbanın sohbet ekranından gizlenebilir.

8. Hassas Bilgiler Dışarı Aktarılıyor

Ele geçirilen bilgiler saldırganın kontrolündeki sunuculara gönderilebilir. Bunlar arasında şunlar bulunmaktadır:

• WhatsApp mesajları.
• Telefon numaraları ve rehber bilgileri.
• Profil fotoğrafları ve kullanıcı kimlikleri.
• Cihaz bilgileri.
• Apple Keychain içindeki parolalar ve diğer gizli bilgiler.
• Kripto para cüzdanlarına ilişkin hassas bilgiler.
• Apple Notlar içindeki kurtarma ifadeleri ve finansal bilgiler.

Bu veri türlerinin tamamının tek bir WhatsApp modülü tarafından ele geçirildiği varsayılmamalıdır. Liste, Coruna ile ilişkilendirilen farklı zararlı bileşenlerin olası veri toplama kapsamını da içermektedir.

Bu Saldırıyı Tespit Etmeyi Zorlaştıran Ne?

Coruna’nın en dikkat çekici özelliklerinden biri, klasik bir uygulama yüklemesi gerektirmeden Safari üzerinden tetiklenebilmesidir. Ayrıca zararlı modülün WhatsApp’ın Bağlı Cihazlar ekranındaki kayıtları gizleyebilmesi, kullanıcının hesabının ele geçirildiğini fark etmesini zorlaştırmaktadır.

Ekim 2026’da yayımlanan araştırmalarda eski reklam ve analitik alan adları üzerinden zararlı içerik dağıtımı da tespit edilmiştir. Bu nedenle yalnızca zararlı uygulama ve dosya kontrolü yeterli değildir; DNS, proxy ve mobil cihaz telemetrisi de incelenmelidir.

Nasıl Korunulur?

• iPhone cihazları desteklenen en güncel iOS sürümüne yükseltilmelidir.
• WhatsApp güncel tutulmalı ve iki adımlı doğrulama etkinleştirilmelidir.
• Şüpheli Bağlı Cihaz kayıtları kontrol edilmelidir. Ancak temiz bir liste, hesabın ele geçirilmediğine dair kesin güvence sağlamaz.
• Yüksek riskli kullanıcılar için Apple Kilitli Mod (Lockdown Mode) değerlendirilmelidir.
• Şüpheli para talepleri farklı bir iletişim kanalı üzerinden doğrulanmalıdır.
• Web sitesi sahipleri, kullanılmayan üçüncü taraf etiketlerini kaldırmalı, harici scriptleri izlemeli ve İçerik Güvenlik Politikası (CSP) uygulamalıdır.
• Enfekte olduğundan şüphelenilen cihazlarda sıfırlama öncesinde adli bilişim delilleri korunmalıdır.

Hangi Sistemler Etkileniyor?

Google GTIG araştırmasına göre Coruna, iOS 13.0 ile iOS 17.2.1 arasındaki sürümleri hedeflemektedir. Etkilenme durumu yalnızca cihaz modeline değil, iOS sürümüne ve ilgili exploit zincirinin gereksinimlerine de bağlıdır.

iOS sürümü	Durum
iOS 13.0–17.2.1	GTIG’nin bildirdiği hedef sürüm aralığı
iOS 17.3	CVE-2024-23222 için düzeltme içeriyor; cside’ın analizine göre bazı zincirler 17.3–17.4 aralığına uzanabiliyor
iOS 17.4 ve sonrası	cside’ın değerlendirmesine göre bilinen Coruna zincirleri için düzeltmeler mevcut; diğer iOS tehditlerine karşı genel güvence sağlamaz

Not: Bu tablo Coruna’nın hedeflediği sürümleri göstermektedir. Daha yeni iOS sürümleri için ayrı bir güvenlik kontrolü yapılmalıdır. Ekim 2026 araştırmalarında, DarkSword adlı başka bir iOS exploit kitinin değiştirilmiş (P7) bir çeşidinin belirli daha yeni iOS sürümlerine karşı kullanıldığı bildirilmiştir. Bu nedenle iOS 17.4 ve üzerindeki cihazların tüm iOS tehditlerine karşı güvende olduğu düşünülmemelidir.

CVE Bilgileri

Coruna’nın 23 exploitinden kamuya açık CVE numarasıyla eşleştirilebilen güvenlik açıkları aşağıda listelenmiştir. Google’ın araştırmasında bazı exploitler için kamuya açık CVE numarası bulunmadığı da belirtilmiştir. Bu nedenle Coruna, tek bir CVE ile tanımlanabilecek bir güvenlik açığı değil, birden fazla açığı zincirleme kullanan bir exploit kitidir.

CVE	Etkilenen bileşen / açıklama
CVE-2020-27932	Kernel güvenlik açığı
CVE-2020-27950	Kernel bilgi sızıntısı
CVE-2021-30952	WebContent bellek erişimi
CVE-2022-48503	WebKit / WebContent
CVE-2023-32409	WebContent sandbox escape
CVE-2023-32434	Kernel exploit
CVE-2023-38606	PPL bypass
CVE-2023-41974	Kernel exploit
CVE-2023-43000	WebKit / WebContent
CVE-2024-23222	WebKit uzaktan kod çalıştırma (RCE)
CVE-2024-23225	PPL bypass
CVE-2024-23296	PPL bypass

Kaynak olarak belirtilen araştırma: Google Threat Intelligence Group (GTIG). CVE-bileşen eşleştirmeleri yayımlanmadan önce ilgili üretici kayıtlarıyla karşılaştırılmalıdır.

IOC Listesi

Aşağıdaki göstergeler Coruna ile ilişkilendirilen farklı kampanyalardan derlenmiştir. Forenser’ın WhatsApp raporu ağ göstergesi içermediği için bu IOC’lerin WhatsApp vakalarına özgü olduğu kanıtlanmış değildir.

Önemli: Alan adları ve dosya özetleri tehdit istihbaratı kapsamında değerlendirilmelidir. Doğrulama yapılmadan alan adları ziyaret edilmemeli veya bütün göstergeler otomatik engelleme listelerine eklenmemelidir.

1. Dosya IOC’leri (SHA-256)

Bileşen veya uygulama kimliğiyle ilişkilendirilen SHA-256 değerleri:

• com.apple.assistd: 2a9d21ca07244932939c6c58699448f2147992c1f49cd3bc7d067bd92cb54f3a
• com.apple.springboard: 18394fcc096344e0730e49a0098970b1c53c137f679cff5c7ff8902e651cd8a3
• com.bitkeep.os: 6eafd742f58db21fbaf5fd7636e6653446df04b4a5c9bca9104e5dfad34f547c
• com.bitpie.wallet: 42cc02cecd65f22a3658354c5a5efa6a6ec3d716c7fbbcd12df1d1b077d2591b
• coin98.crypto.finance.insights: 0dff17e3aa12c4928273c70a2e0a6fff25d3e43c0d1b71056abad34a22b03495
• org.toshi.distribution: 05b5e4070b3b8a130b12ea96c5526b4615fcae121bb802b1a10c3a7a70f39901
• exodus-movement.exodus: 10bd8f2f8bb9595664bb9160fbc4136f1d796cb5705c551f7ab8b9b1e658085c
• im.token.app: 91d44c1f62fd863556aac0190cbef3b46abc4cbe880f80c580a1d258f0484c30
• com.kyrd.krystal.ios: 721b46b43b7084b98e51ab00606f08a6ccd30b23bef5e542088f0b5706a8f780
• io.metamask.MetaMask: 25a9b004cf61fb251c8d4024a8c7383a86cb30f60aa7d59ca53ce9460fcfb7de
• org.mytonwallet.app: be28b40df919d3fa87ed49e51135a719bd0616c9ac346ea5f20095cb78031ed9
• app.phantom: 3c297829353778857edfeaed3ceeeca1bf8b60534f1979f7d442a0b03c56e541
• com.skymavis.Genesis: 499f6b1e012d9bc947eea8e23635dfe6464cd7c9d99eb11d5874bd7b613297b1
• com.solflare.mobile: d517c3868c5e7808202f53fa78d827a308d94500ae9051db0a62e11f7852e802
• com.global.wallet.ios: 4dfcf5a71e5a8f27f748ac7fd7760dec0099ce338722215b4a5862b60c5b2bfd
• com.tonhub.app: d371e3bed18ee355438b166bbf3bdaf2e7c6a3af8931181b9649020553b07e7a
• com.jbig.tonkeeper: 023e5fb71923cfa2088b9a48ad8566ff7ac92a99630add0629a9edf4679888de
• com.tronlink.hdwallet: f218068ea943a511b230f2a99991f6d1fbc2ac0aec7c796b261e2a26744929ac
• com.sixdays.trust: 1fb9dedf1de81d387eff4bd5e747f730dd03c440157a66f20fdb5e95f64318c0
• com.uniswap.mobile: 4dc255504a6c3ea8714ccdc95cc04138dc6c92130887274c8582b4a96ebab4a8

2. Ağ IOC’leri: Coruna Dağıtım Adresleri

Google GTIG tarafından UNC6353 ve UNC6691 faaliyetleriyle ilişkilendirildiği belirtilen alan adı göstergeleri:

Alan adı	Açıklama
cdn[.]uacounter[.]com	UNC6353 kampanyasında kullanılan Coruna exploit framework dağıtım adresi
ai-scorepredict[.]com	UNC6691 ile ilişkilendirilen dağıtım altyapısı
goodcryptocurrency[.]top	Sahte kripto para sitesi üzerinden exploit dağıtımı
pepeairdrop01[.]com	Sahte kripto para / airdrop temalı dağıtım adresi
m[.]pc6[.]com	Coruna araştırmasıyla ilişkilendirilen web altyapısı
ddus17[.]com	İlişkili dağıtım alan adı
iosec2[.]668ddf[.]cc	İlişkili web dağıtım altyapısı
ios[.]teegrom[.]top	iOS hedefli exploit dağıtım adresi
3v5w1km5gv[.]xyz	Coruna exploit içeriğinin tespit edildiği örnek alan adı
share[.]4u[.]game	İlişkili dağıtım altyapısı
26a[.]online	İlişkili dağıtım alan adı
binancealliancesintro[.]com	Sahte finans / kripto temalı dağıtım altyapısı
4u[.]game	İlişkili web altyapısı
b27[.]icu	İlişkili dağıtım alan adı
h4k[.]icu	İlişkili dağıtım alan adı
seven7[.]vip	İlişkili dağıtım alan adı
7uspin[.]us	İlişkili dağıtım alan adı
4kgame[.]us	İlişkili dağıtım alan adı
7p[.]game	İlişkili dağıtım alan adı

m[.]pc6[.]com büyük bir yazılım indirme portalıdır. cside’ın değerlendirmesine göre bu adres, büyük olasılıkla ele geçirilmiş meşru bir sayfaya işaret etmektedir. Engellemeden önce kendi ağ trafiğinizde doğrulayın.

3. PLASMAGRID C2 Alan Adları

Alan adı üretme algoritması (DGA) ile oluşturulduğu belirtilen, çoğunlukla 15 karakterli .xyz alan adları (bildirilen tohum: lazarus):

• vvri8ocl4t3k8n6[.]xyz
• rlau616jc7a7f7i[.]xyz
• ol67el6pxg03ad7[.]xyz
• 6zvjeulzaw5c0mv[.]xyz
• ztvnhmhm4zj95w3[.]xyz
• v2gmupm7o4zihc3[.]xyz
• pen0axt0u476duw[.]xyz
• hfteigt3kt0sf3z[.]xyz
• xfal48cf0ies7ew[.]xyz
• yvgy29glwf72qnl[.]xyz
• lk4x6x2ejxaw2br[.]xyz
• 2s3b3rknfqtwwpo[.]xyz
• xjslbdt9jdijn15[.]xyz
• hui4tbh9uv9x4yi[.]xyz
• xittgveqaufogve[.]xyz
• xmmfrkq9oat1daq[.]xyz
• lsnngjyu9x6vcg0[.]xyz
• gdvynopz3pa0tik[.]xyz
• o08h5rhu2lu1x0q[.]xyz
• zcjdlb5ubkhy41u[.]xyz
• 8fn4957c5g986jp[.]xyz
• uawwydy3qas6ykv[.]xyz
• sf2bisx5nhdkygn3l[.]xyz
• roy2tlop2u[.]xyz
• gqjs3ra34lyuvzb[.]xyz
• eg2bjo5x5r8yjb5[.]xyz
• b38w09ecdejfqsf[.]xyz

4. Ekim 2026: DeadTag ve Yeni Dağıtım IOC’leri

iVerify ve Report URI’nin Ekim 2026’da yayımladığı araştırmalarda, eski reklam ve analitik servislerine ait süresi dolmuş alan adlarının yeniden kaydedilerek zararlı içerik dağıtımında kullanıldığı açıklandı. Report URI, kampanyada 660’tan fazla süresi dolmuş ve yeniden kaydedilmiş alan adı tespit etti. Ohey’in analizinde Coruna dağıtım zinciriyle ilişkilendirilen yeni alan adları ve URL yolları da yer alıyor.

Yeni Dağıtım Alan Adları

Alan adı	Açıklama
js[.]apiforxwork[.]com	Coruna iframe wrapper dağıtımı
js[.]apiforxwork[.]net	Exploit dispatcher yükleme adresi
1x8gmjbdq3tepgr[.]icu	IP senkronizasyonu ve beacon endpoint altyapısı

URL ve URI Göstergeleri

URL / URI	Açıklama
/qqtime/qqtime.html	Coruna exploit dispatcher yükleme yolu
/api/ip-sync/sync	IP adresi, cihaz sürümü ve alan adı bilgilerinin gönderildiği beacon endpoint

JavaScript Davranış Göstergeleri

Gösterge	Açıklama
globalThis.obChTK	Base64 çözümlemesinden sonra oluşturulan dispatcher nesnesi
hPL3On, ZKvD0e, po3QmN, eW4__H	Dispatcher modül metotları
channelCode	Beacon isteğinde kullanılan alan
deviceVersion	Cihaz ve işletim sistemi sürüm bilgisi
aria-hidden="true", tabindex="-1"	Gizli iframe özellikleri