Coruna iOS漏洞利用套件案例分析及零日漏洞交易生态系统研究> — 对韩国政府网络安全政策的启示与应对策略 —作者：HoKwang Kim | [email protected]GitHub： https://github.com/gameworkerkim/
| 项目 | 内容 |
|---|---|
| 分类 | 威胁情报 / 政策分析报告 |
| 威胁级别 | 🔴 严重（需要紧急应对） |
| 分析对象 | Coruna iOS Exploit Kit (CVE-2024-23222) |
| 影响范围 | iOS 13.0 ~ 17.2.1 / 含韩国政府及公共机构 |
| 撰写目的 | 防御·研究·政策制定 — 教育目的公开 |
| 撰写日期 | 2026年3月20日 |
| 分类标准 | 基于OSINT的公开威胁情报 |
目录
- 执行摘要
- Coruna iOS漏洞利用套件技术分析
- 网络武器供应链：从开发到犯罪化
- 零日漏洞交易生态系统
- 漏洞扩散速度的加速：从VBScript到WebKit
- 韩国网络安全现状与威胁分析
- 问题诊断：现行应对体系的局限性
- 替代方案：国际合作、社区与AI防御战略
- 结论
- 参考文献
1. 执行摘要
网络武器不再是国家的专属工具。本报告分析了被强烈怀疑由美国国防承包商L3Harris子公司Trenchant开发的Coruna iOS漏洞利用套件通过内部人员泄露被出售给俄罗斯网络武器中间商，随后扩散至中国出于经济利益的黑客组织的全过程。
此案例象征着三个核心范式转变：
- 国家级网络战略资产的民主化（Democratization of Cyber Weapons） 已成为现实。
- 零日漏洞的国家独占使用期从过去的数年急剧缩短至数月。
- 包括韩国在内的亚洲地区政府机构已成为此类高级攻击的直接目标。
💡 核心信息： 今天的国家战略资产成为明天的网络犯罪工具。韩国政府需要实时国际合作、AI监控，以及对制度性应对体系的全面重构。
2. Coruna iOS漏洞利用套件技术分析
2.1 概述及CVE分析
Coruna是一款针对iOS 13.0~17.2.1的高级商业远程漏洞利用套件，实现了无需用户任何操作、仅通过访问恶意网页即可完全控制设备的一键攻击链。
| 项目 | 内容 |
|---|---|
| CVE | CVE-2024-23222 |
| 影响范围 | iOS 13.0 ~ 17.2.1（全球数亿台设备） |
| 补丁版本 | iOS 17.3+（2024年1月补丁） |
| 攻击类型 | 1-Click WebKit RCE → 完全设备控制 |
| 疑似开发主体 | Trenchant / L3Harris（美国国防承包商） |
| 实际利用案例 | 乌克兰政府定向攻击、加密货币网络钓鱼 |
2.2 八阶段攻击链
WebKit RCE → PAC绕过 → 沙箱逃逸 → 权限提升
- 阶段0 —
group_loader.html：攻击入口点，HTML包装器和模块编排 - 阶段1 —
platform_module.js：iOS版本、设备型号、锁定模式检测 - 阶段2 —
stage1_wasm_primitives.js：CVE-2024-23222类型混淆 → 任意读写 - 阶段3 —
stage2_pac_bypass.js：通过Intl.Segmenter vtable污染绕过PAC（指针认证码） - 阶段4 —
stage3_sandbox_escape.js：Mach-O构建器 + ARM64小工具链实现沙箱逃逸（~147KB） - 阶段5 —
stage4_payload_stub.js：加密载荷传递存根 - 阶段6 —
stage5_main_payload.js：PLASMAGRID暂存器（AES加密，~292KB） - 阶段7 —
stage6_binary_blob.bin：PGP加密最终二进制文件（~227KB）
2.3 C2基础设施及失陷指标（IOC）
| 指标类型 | 值 | 用途 |
|---|---|---|
| C2域名 | 8df7.cc |
IP同步遥测 |
| API端点 | https://8df7.cc/api/ip-sync/sync |
受害者IP收集 |
| Google Analytics | G-LKHD0572ES |
访客追踪和活动管理 |
| 活动ID | CHMKNI9DW334E60711 |
攻击活动标识符 |
| 模块盐值 | cecd08aa6ff548c2 |
SHA-256模块文件名哈希密钥 |
| 钓鱼载体 | 虚假加密货币交易所网站 | UNC6691初始访问手段 |
⚠️ 主要窃取目标数据： 加密货币钱包恢复短语（Seed Phrase）、照片应用中的QR码、Apple Notes中的敏感信息、iCloud Keychain凭据、设备指纹
3. 网络武器供应链：从开发到犯罪化
3.1 供应链流程图
[开发] Trenchant / L3Harris（美国）
↓ 内部人员泄露 — 彼得·威廉姆斯
[中间商] Operation Zero（俄罗斯网络武器经纪人）
↓
[一次使用] UNC6353（俄罗斯关联的国家行为者）
→ 2025年夏：针对乌克兰政府及军事人员的定向攻击
↓
[二次扩散] UNC6691（中国为基础的经济动机网络犯罪）
→ 2025年末：通过虚假加密货币网站进行大规模盗窃
| 阶段 | 时间 | 行为者 | 角色 / 目标 |
|---|---|---|---|
| 开发 | ~2024 | Trenchant / L3Harris（美国） | 向政府及私人监控公司限量供应 |
| 内部泄露 | 2024~2025 | 彼得·威廉姆斯（前员工） | 向Operation Zero出售漏洞利用套件 |
| 中间流通 | 2025年上半年 | Operation Zero（俄罗斯经纪人） | 通过网络武器市场流通 |
| 国家级使用 | 2025年夏 | UNC6353（俄罗斯关联） | 针对乌克兰政府及军事人员的定向攻击 |
| 网络犯罪 | 2025年末 | UNC6691（中国为基础，经济动机） | 通过虚假加密货币网站进行网络钓鱼和资产盗窃 |
3.2 Operation Zero — 俄罗斯为基础的网络武器经纪人
Operation Zero是专门收购和转售国家级零日漏洞及漏洞利用套件的俄罗斯网络武器中间商市场。通过Telegram频道和暗网托管托管系统进行交易，据报道曾对iOS和Android零日提出数百万美元的报价。
🚨 战略含义： 任何拥有足够资金的团体都能以购买商品的方式获取国家级网络武器。
4. 零日漏洞交易生态系统
4.1 市场层级结构
| 市场分类 | 特征 | 代表案例 |
|---|---|---|
| 白色市场 | 合法的漏洞赏金、厂商公开补丁 | HackerOne, Bugcrowd, Apple Security Bounty |
| 灰色市场 | 面向政府及私人监控公司的非公开交易 | Zerodium, Crowdfense, Exodus Intelligence |
| 黑色市场 | 暗网·Telegram匿名交易，无监管 | Operation Zero, 暗网论坛 |
4.2 基于加密货币的支付结构与交易追踪
比特币（BTC）作为网络武器交易主要支付手段的原因：
- 去中心化结构可规避银行冻结和制裁
- 通过CoinJoin、Wasabi Wallet、Samourai Wallet等混币技术使追踪困难
- P2P特性实现无中间机构的跨境即时支付
📊 Chainalysis 2024年报告：与网络犯罪相关的非法加密货币交易规模在2023年达到约240亿美元，尽管使用了混币服务，约40%的非法交易仍可通过交易所KYC程序识别。
4.3 已知交易基础设施（防御目的IOC）
- Telegram频道： 多个私人频道用于零日竞标（Recorded Future, 2024）
- 托管服务： 基于Monero（XMR）的暗网托管平台 — USDT·BTC混合使用
- 经纪人网络： Zerodium（合法）、Operation Zero、俄罗斯·东欧为基础的未确认经纪人
- 支付模式： 每笔交易数十万至数百万美元，多见BTC → XMR转换后最终收款的模式
5. 漏洞扩散速度的加速：从VBScript到WebKit
5.1 历史背景：国家垄断时代的终结
| 漏洞/工具 | 最初利用推测 | 公开/泄露时间 | 垄断期 | 备注 |
|---|---|---|---|---|
| VBScript IE漏洞 | ~2012 | 约4~5年 | 特定国家APT专用 | |
| Stuxnet (CVE-2010-2568) | 2010年 | 约2~3年 | 针对伊朗核设施 | |
| EternalBlue (MS17-010) | 2017年（Shadow Brokers） | 约4~5年 | 被WannaCry利用 | |
| CVE-2021-30860 (FORCEDENTRY) | ~2020 | 2021年（CitizenLab） | 约1~2年 | Pegasus使用 |
| CVE-2024-23222 (Coruna) | ~2023 | 2024~2025年 | 不足1年 | 扩散至民间犯罪组织 |
5.2 扩散加速的机制
- 网络武器经纪市场的成熟 — Operation Zero等专业中间平台的出现
- 内部威胁的增加 — 如彼得·威廉姆斯案例所示，国防工业内部人员的蓄意泄露
- OSINT研究机构的发展 — CitizenLab、Mandiant、Google Project Zero的快速逆向分析和公开
- 漏洞"再发现"现象 — 多个独立研究者同时发现的频率增加
📌 RAND Corporation研究（2017年）：零日漏洞平均寿命约6.9年 → 目前高级移动零日已缩短至1~2年以下。国家垄断使用期已缩短至数月水平。
5.3 含义：防御者应对时间的压缩
与VBScript漏洞多年来仅在特定国家使用不同，如今的高级移动漏洞利用工具可能在开发后数月内就沦为犯罪集团的工具。对于遗留系统比例高、补丁应用速度相对较慢的韩国政府及公共机构环境来说，这一问题尤为严峻。
6. 韩国网络安全现状与威胁分析
6.1 主要网络攻击现状
| 年份 | 主要事件 | 背后推测 | 损失规模 |
|---|---|---|---|
| 2009 | 7·7 DDoS攻击 | 朝鲜关联推测 | 青瓦台、国防部等主要网站瘫痪 |
| 2013 | 3·20网络恐怖 | 朝鲜Lazarus | 约4.8万台广播·金融机构电脑被破坏 |
| 2016 | 国防网络入侵事件 | 朝鲜推测 | 疑似泄露作战计划5015等国防机密 |
| 2021 | 韩国原子力研究院入侵 | Kimsuky（朝鲜） | 内部系统未授权访问 |
| 2022~2024 | APT持续攻击 | 朝鲜·中国复合 | 持续渗透政府、国防、研究机构 |
6.2 韩国政府网络安全体系的结构性漏洞
- 部委分散型应对体系： 国家情报院、科学技术信息通信部、国防部、警察厅等机构角色分散，导致实时统一应对延误
- 遗留系统依赖： 政府及公共机构旧型操作系统·软件使用率高，补丁管理困难
- 移动设备安全政策不完善： 针对iOS漏洞的政府公务员移动设备安全政策尚未系统建立
- 国际威胁情报共享受限： 被排除在Five Eyes等主要网络安全联盟之外，实时共享访问受限
- 专业人才不足： 相对于威胁规模，威胁分析专业人才不足
6.3 当前威胁场景
🔴 加强监控建议： 迫切需要对外交部、国防部、国家情报院、核心国防企业员工的移动设备引入零信任安全架构。
7. 问题诊断：现行应对体系的局限性
7.1 国家层面的应对空白
《瓦森纳协定》（Wassenaar Arrangement）适用于网络武器，但内部人员泄露或暗网交易处于监管盲区。这些是仅靠个别国家的防御努力无法解决的结构性问题。
7.2 韩国特有的应对局限
- 信息共享体系碎片化 — 事件信息未能在机构间实时共享，导致类似攻击的重复受害
- 威胁情报的被动收集 — 依赖事后分析，主动威胁猎捕（Threat Hunting）能力不足
- 国际合作网络的局限性 — 对Coruna案例所揭示的跨国供应链结构应对不足
8. 替代方案：国际合作、社区与AI防御战略
8.1 加强与各国安全机构的合作
| 合作机构 | 合作内容 | 预期效果 |
|---|---|---|
| 美国CISA | 零日漏洞早期预警、IOC共享 | 攻击识别时间缩短数月 |
| 英国NCSC | APT活动分析共享 | 预先检测针对韩国的攻击 |
| NATO CCDCOE | 网络演习·战略研究合作 | 防御能力提升至国际水平 |
| 国际刑警组织 | 网络犯罪联合调查 | 追踪Operation Zero类型的经纪人 |
| FIRST（全球CERT） | 事件共享和应对协调 | 早期遏制网络武器扩散 |
8.2 扩大国家间实时威胁社区
- 构建基于MITRE ATT&CK + STIX/TAXII标准的自动化国际威胁情报共享平台
- 官民联合应对体系： 将三星、LG、Kakao、Naver等大型科技企业的安全威胁情报与政府实时共享
📊 ENISA（2023年）：建立实时威胁情报共享体系的国家·机构，事件检测时间平均缩短60%，损失规模减少40%以上。
8.3 基于人工智能的网络安全监控
推荐AI工具：-基于AI的移动威胁防御（MTD）： Lookout、Zimperium — 设备级实时漏洞利用检测
- 基于图神经网络的C2通信检测： DNS·网络流量异常模式检测
- 基于LLM的威胁情报分析： 从大量OSINT数据中自动提取新威胁模式
- 漏洞预测模型：通过学习CVE数据预先识别零日高风险代码区域韩国政府AI安全监控路线图：
| 阶段 | 周期 | 核心任务 | 预期成果 |
|---|---|---|---|
| 第1阶段 — 基础构建 | 1~2年 | STIX/TAXII国际CTI对接、AI检测试点 | 检测时间缩短30% |
| 第2阶段 — 扩展 | 2~3年 | 全部政府部门AI检测系统部署、官民共享平台构建 | 覆盖率80%以上 |
| 第3阶段 — 完成 | 3~5年 | 自主威胁猎捕、国际实时共享完成、AI政策应对整合 | 达到发达国家水平的应对体系 |
9. 结论
Coruna iOS漏洞利用套件案例证明，美国国防工业诞生的精密工具经由内部人员泄露 → 俄罗斯经纪人 → 中国网络犯罪集团，最终被用于盗取普通公民的加密货币，网络武器供应链已遭到严重污染。
与VBScript漏洞多年来仅在特定国家使用不同，如今的零日漏洞在开发后数月内就沦为犯罪集团的工具。韩国是这一威胁的直接目标。> 🔑最终建议：韩国政府应将网络安全预算和人力从当前水平至少扩大3倍，同时推进国际合作、AI引进、实时社区构建三大支柱，开展网络安全新政。Coruna是一个警告。下一个将更加精密、更加迅速。
参考文献
I. 技术分析及威胁情报
[1] Tran, D. (2024). coruna_analysis: Technical analysis of Coruna iOS exploit kit. GitHub Repository. https://github.com/34306/coruna_analysis
[2] CVE-2024-23222 Detail. (2024). National Vulnerability Database. https://nvd.nist.gov/vuln/detail/CVE-2024-23222
[3] Apple Security Advisory. (2024). About the security content of iOS 17.3 and iPadOS 17.3. Apple Product Security.
[4] Mandiant Threat Intelligence. (2025). UNC6353 and the Russian Cyber Weapon Supply Chain. Google Cloud / Mandiant.
[5] Recorded Future. (2024). Inside Operation Zero: The Broker of Nation-State Zero-Day Exploits. Recorded Future Intelligence Cloud.
[6] Kaspersky GReAT. (2024). From State Secrets to Cybercrime Tools: The Exploit Leak Economy. Kaspersky Securelist.
II. 加密货币及交易追踪
[7] Chainalysis. (2024). The Chainalysis 2024 Crypto Crime Report. https://go.chainalysis.com/crypto-crime-2024
[8] Chainalysis. (2025). Cryptocurrency and Cyber Weapons: 2025 Annual Report on Illicit Crypto Flows.
[9] Europol. (2024). Internet Organised Crime Threat Assessment (IOCTA) 2024.
III. 零日漏洞交易生态系统
[10] Ablon, L., & Bogart, A. (2017). Zero Days, Thousands of Nights. RAND Corporation. https://doi.org/10.7249/RR1751
[11] Frei, S., May, M., Fiedler, U., & Plattner, B. (2006). Large-Scale Vulnerability Analysis. ACM Workshop on LSAD. doi:10.1145/1162549.1162554
[12] Herley, C., & Florêncio, D. (2010). Nobody Sells Gold for the Price of Silver. Economics of Information Security and Privacy, Springer.
[13] Bilge, L., & Dumitras, T. (2012). Before We Knew It: An Empirical Study of Zero-Day Attacks. ACM CCS 2012. doi:10.1145/2382196.2382284
IV. 内部威胁及网络武器民主化
[14] Insider Threat Task Force. (2022). Insider Threat Mitigation Guide. CISA.
[15] Scott-Railton, J. et al. (2021). Pegasus vs Predator. The Citizen Lab, University of Toronto.
[16] Deibert, R. J. (2015). Cyberspace Under Siege. Journal of Democracy, 26(3), 64–78. doi:10.1353/jod.2015.0051
V. 基于AI的网络安全与国际合作
[17] ENISA. (2023). Threat Intelligence and Sharing. European Union Agency for Cybersecurity.
[18] Lin, H., & Smeets, M. (2023). The Emerging Norms on Offensive Cyber Operations. Journal of Conflict & Security Law, 28(1). doi:10.1093/jcsl/krad002
[19] Shu, X. et al. (2020). Threat Intelligence-Driven Dynamic Access Control for Industrial IoT. IEEE TII. doi:10.1109/TII.2020.2975341
[20] Mirsky, Y. et al. (2023). The Threat of Offensive AI to Organizations. Computers & Security, 124, 103032. doi:10.1016/j.cose.2022.103032
VI. 韩国网络安全
[21] KISA. (2024). 2024 Korea Cybersecurity Report. Ministry of Science and ICT, Republic of Korea.
[22] NIS. (2023). 2023 Cyber Threat Trend Report. National Intelligence Service, Republic of Korea.
[23] Kim, J., & Park, S. (2023). Challenges and Strategies for South Korea's Cybersecurity Policy. Korean Journal of International Studies, 21(2), 135–162.
[24] Sanger, D. E., & Markoff, J. (2024). Cyber Weapons and the New Rules of War. Stanford Internet Observatory.
本报告是基于公开的OSINT数据和威胁情报报告，为教育和防御目的撰写的安全分析文件。 所分析的漏洞（CVE-2024-23222）已在iOS 17.3及更高版本中修复。