Google tiết lộ bộ công cụ tấn công tiền điện tử trên iPhone "Coruna", có thể lấy trộm từ khóa ghi nhớ và thông tin ví

Ngày 5 tháng 3, nhóm tình báo mối đe dọa của Google (GTIG) gần đây đã công bố báo cáo an ninh cho biết các nhà nghiên cứu đã phát hiện ra một công cụ khai thác lỗ hổng iPhone mới có tên gọi “Coruna”, được sử dụng để trộm các từ khóa ghi nhớ ví tiền mã hóa và thông tin tài chính. Công cụ này nhắm vào các thiết bị chạy iOS từ phiên bản 13.0 đến 17.2.1, thông qua nhiều chuỗi khai thác lỗ hổng để tiến hành các cuộc tấn công có mục tiêu, gây chú ý lớn trong lĩnh vực an toàn di động.

Báo cáo cho thấy “Coruna” bao gồm 5 chuỗi khai thác lỗ hổng iOS hoàn chỉnh, tổng cộng liên quan đến 23 lỗ hổng bảo mật, trong đó một số chưa từng được công khai trước đây. Các nhà nghiên cứu của Google cho biết họ lần đầu tiên phát hiện hoạt động tấn công liên quan vào tháng 2 năm 2025, và nhận thấy công cụ này ban đầu bị nghi là do các tổ chức tình báo Nga sử dụng để tấn công mạng các người dùng Ukraine, sau đó còn được dùng để giả mạo các trang web liên quan đến tài chính và tiền mã hóa, dụ người dùng truy cập rồi thực hiện hành vi trộm cắp thông tin.

Phương thức tấn công chủ yếu dựa vào việc phát tán mã khai thác lỗ hổng qua các trang web độc hại. Khi người dùng iPhone truy cập vào các trang web nhất định, khung JavaScript trong trang sẽ thực hiện nhận dạng dấu vân tay thiết bị, xác nhận phiên bản hệ thống rồi mới tải các phần mềm khai thác lỗ hổng phù hợp. Các nhà nghiên cứu đã phát hiện cùng một khung này trên nhiều trang web giả mạo của Ukraine bị xâm nhập, và nhận thấy hệ thống này chỉ gửi mã tấn công tới các thiết bị iPhone ở các khu vực nhất định.

Vào tháng 12 năm 2025, nhóm nghiên cứu còn phát hiện cùng một khung trong hàng loạt trang web giả mạo liên quan đến dịch vụ tài chính bằng tiếng Trung, trong đó có các trang giả mạo nền tảng mã hóa. Khi nạn nhân truy cập các trang này bằng thiết bị iOS, công cụ tấn công sẽ quét các thông tin nhạy cảm trong thiết bị, chẳng hạn như các đoạn văn bản chứa từ khóa ghi nhớ, cụm từ sao lưu hoặc số tài khoản ngân hàng, đồng thời cố gắng đọc dữ liệu từ các ứng dụng ví tiền mã hóa phổ biến để chiếm quyền kiểm soát tài sản số.

Google cho biết, hiện tại công cụ khai thác lỗ hổng này không thể hoạt động trên các phiên bản iOS mới nhất, do đó khuyên người dùng iPhone nên nâng cấp hệ điều hành càng sớm càng tốt. Nếu không thể nâng cấp, người dùng có thể kích hoạt chế độ “Chế độ khóa” do Apple cung cấp để phòng chống các cuộc tấn công mạng phức tạp.

Trong khi đó, các cuộc tranh luận về nguồn gốc của “Coruna” cũng gây tranh cãi. Đồng sáng lập công ty an ninh di động iVerify, Rocky Cole, trong một cuộc phỏng vấn truyền thông, cho biết công cụ này có độ phức tạp rất cao, chi phí phát triển có thể lên tới hàng triệu USD, và có một số đặc điểm mô-đun tương tự các công cụ mạng của chính phủ Mỹ. Tuy nhiên, các chuyên gia của tổ chức nghiên cứu an ninh Kaspersky lại cho rằng hiện chưa có đủ bằng chứng để chứng minh mã nguồn của nó liên quan trực tiếp đến bất kỳ công cụ đã biết nào.

Các chuyên gia an ninh cảnh báo, người dùng tiền mã hóa khi sử dụng ví điện thoại hoặc truy cập các trang web liên quan cần cảnh giác với các trang lừa đảo (phishing) và cập nhật hệ thống thiết bị kịp thời để giảm thiểu nguy cơ lộ từ khóa ghi nhớ và bị đánh cắp tài sản số.