🔴 Coruna iOS 익스플로잇 킷 — 한국어 심층 분석 리포트

CVE-2024-23222 기반 WebKit 원격 코드 실행 체인 분석
보안 전문가 및 취약점 연구자를 위한 기술 분석 | 방어 목적 공개

⚠️ 분석 목적 안내

본 문서는 공개된 소스 코드(34306/coruna_analysis)와 공개 위협 인텔리전스를 기반으로,
교육 및 방어 목적의 보안 연구를 위해 작성된 한국어 분석 리포트입니다.

Coruna가 활용한 모든 취약점은 iOS 17.3 이상에서 패치 완료되었습니다.

📋 목차

개요 (Executive Summary)
위협 행위자 및 공급망 분석
기술 심층 분석: 8단계 공격 체인
코드 품질 분석과 출처 귀인
C2 인프라 및 캠페인 분석
전략적 함의: 사이버 무기의 고도화와 상품화
방어 대책 및 완화 방안
결론

1. 개요

항목	내용
분류	위협 인텔리전스 리포트
위협 수준	🔴 CRITICAL
분석 대상	Coruna Exploit Kit (GitHub: 34306/coruna_analysis)
CVE	CVE-2024-23222
영향 범위	iOS 13.0 – iOS 17.2.1
패치 버전	iOS 17.3+

Coruna는 iOS 13.0~17.2.1을 표적으로 하는 고도로 정교화된 상업적 iOS 원격 익스플로잇 킷(Exploit Kit)이다.
사용자의 조작 없이 악성 웹페이지 방문만으로 기기를 완전히 장악하는 '1-클릭' 공격 체인을 구현하며,
다음 4단계 침투 경로를 거친다:

WebKit RCE → PAC 우회 → 샌드박스 탈출 → 권한 상승

GitHub(34306/coruna_analysis) 저장소에 공개된 난독화 해제 코드 분석 결과:

이 도구는 미국 방위산업체 L3Harris의 자회사 Trenchant에서 개발된 국가급 사이버 전략 자산으로 강하게 의심된다
내부 유출 후 러시아 → 중국 순으로 이전되어 현재 금전 목적의 일반 사이버 범죄에까지 활용되고 있다
이는 '사이버 무기 공급망 오염'의 전형적 사례로 평가된다

2. 위협 행위자 및 공급망 분석

2-1. 개발 기원: 미국 방위산업체 Trenchant (L3Harris 자회사)

보안 연구 결과 Coruna의 내부 프로젝트명, 코드 스타일, 주석 언어 패턴이
미국 방위산업체 L3Harris의 자회사 Trenchant의 개발 패턴과 일치하는 것으로 분석된다.

특히 코드 내 주석에서 발견되는 미국식 영어 농담(American English humor) 과
고도로 체계화된 모듈 아키텍처는 개인 해커 집단이 아닌 전문 조직의 산물임을 강하게 시사한다.

특징	관찰 내용
코드 스타일	체계적인 영문 주석 및 미국식 구어체 표현
기술 수준	SHA-256 기반 모듈 해싱, AES 암호화 페이로드, PAC 우회 등 최고 수준의 보안 연구 역량 요구
설계 철학	단일 취약점 의존 대신 버전별 오프셋 테이블을 갖춘 멀티 타겟 설계
운영 보안	잠금 모드·분석 환경 감지 등 OPSEC 내재화

2-2. 유출 경로: 내부자 위협 (Insider Threat)

전 L3Harris 직원 피터 윌리엄스(Peter Williams) 가 회사의 익스플로잇 도구를
러시아 사이버 무기 중개 마켓플레이스 'Operation Zero' 에 판매한 것으로 알려졌다.

이는 첨단 사이버 무기가 내부자 위협에 의해 적대적 국가로 이전될 수 있음을 보여주는 경고적 사례다.

2-3. 글로벌 사이버 무기 마켓플레이스 — 어둠의 공급망

[개발] Trenchant / L3Harris (미국)
    ↓ 내부자 유출 (피터 윌리엄스)
[중개] Operation Zero (러시아 사이버 무기 브로커)
    ↓
[1차 사용] UNC6353 (러시아 연계 국가 행위자)
    → 2025년 여름, 우크라이나인 대상 표적 공격
    ↓
[2차 확산] UNC6691 (중국 기반 금전 목적 사이버 범죄)
    → 2025년 말, 가짜 암호화폐 사이트 통한 대규모 탈취

단계	시기	행위자	표적 / 목적
개발	~2024	Trenchant (L3Harris)	정부기관·민간 감시업체용 제한 공급
유출	2024-2025	피터 윌리엄스 → Operation Zero	러시아 사이버 무기 마켓 거래
국가급 사용	2025년 여름	UNC6353 (러시아 연계 추정)	우크라이나인 대상 표적 공격
사이버범죄 전용	2025년 말	UNC6691 (중국 기반 금전 목적)	가짜 암호화폐 사이트 통한 대규모 탈취

🚨 전략적 시사점: Operation Zero 같은 사이버 무기 브로커의 존재는
'국가급 사이버 무기의 민간화(Democratization of Cyber Weapons)' 가 이미 현실화되었음을 의미한다.
오늘의 국가 전략 자산이 내일의 사이버 범죄 도구가 될 수 있다.

3. 기술 심층 분석: 8단계 공격 체인

3-1. 전체 공격 흐름

group_loader.html (진입점)
  │
  ├── Stage 1: 장치 지문 수집 (platform_module.js)
  │     └── iOS 버전 감지, 잠금 모드 확인, 시뮬레이터 감지
  │
  ├── Stage 2: WASM 메모리 프리미티브 (stage1_wasm_primitives.js)
  │     └── CVE-2024-23222 타입 혼란 → arbitrary read/write
  │
  ├── Stage 3: 런타임 감지
  │     └── JSC 메모리 레이아웃 식별 (PSNMWj vs RoAZdq 오프셋)
  │
  ├── Stage 4: PAC 우회 (stage2_pac_bypass.js)
  │     └── Intl.Segmenter 이터레이터 오염 → PAC 서명 능력 획득
  │
  ├── Stage 5: 샌드박스 탈출 (stage3_sandbox_escape.js)
  │     └── Mach-O 파싱, 심볼 해석, ARM64 가젯 체인
  │
  ├── Stage 6: 페이로드 스텁 (stage4_payload_stub.js)
  │     └── qbrdr() 핸들러로 암호화 페이로드 전달
  │
  ├── Stage 7: 메인 페이로드 (stage5_main_payload.js)
  │     └── PLASMAGRID 스테이저 (~292KB AES 암호화)
  │
  └── Stage 8: 바이너리 블롭 (stage6_binary_blob.bin)
        └── PGP 암호화 최종 바이너리 (미분석)

스테이지	파일	역할	핵심 기술
Stage 0	`group_loader.html`	공격 진입점	HTML 래퍼, 모듈 오케스트레이션
Stage 1	`platform_module.js`	장치 지문 수집	iOS 버전, 기기 모델, 잠금 모드 감지
Stage 2	`stage1_wasm_primitives.js`	메모리 원시 접근	CVE-2024-23222 → arbitrary read/write
Stage 3	`stage2_pac_bypass.js`	PAC 우회	Intl.Segmenter vtable 오염
Stage 4	`stage3_sandbox_escape.js`	샌드박스 탈출	Mach-O 빌더 + ARM64 가젯
Stage 5	`stage4_payload_stub.js`	페이로드 전달 스텁	암호화 페이로드 핸들러
Stage 6	`stage5_main_payload.js`	메인 페이로드	PLASMAGRID 스테이저 (AES 암호화)
Stage 7	`stage6_binary_blob.bin`	최종 바이너리	PGP 암호화 (미분석)

3-2. Stage 1 — 장치 지문 수집 (`platform_module.js`)

공격자는 피해자의 iOS 버전과 기기 모델을 정확히 파악한 후 최적의 오프셋 테이블을 선택한다.
잠금 모드(Lockdown Mode) 활성화 여부를 사전 확인하여 활성화 시 공격을 즉시 중단한다.

✅ iOS 버전 범위: iOS 13.0 ~ 17.2.1 (버전별 오프셋 테이블 내장)
✅ 잠금 모드(Lockdown Mode) 감지 → 공격 중단 (분석·탐지 회피)
✅ Safari 개인정보 보호 모드 감지 → 선택적 공격 중단
✅ 시뮬레이터 환경 감지 → 보안 연구 환경 회피

3-3. Stage 2 — CVE-2024-23222 (WebKit JIT Type Confusion)

Coruna의 핵심 취약점인 CVE-2024-23222는 WebKit의 JavaScriptCore(JSC) 엔진에서 발생하는
타입 혼란(Type Confusion) 취약점이다.

공격 메커니즘:

1. JIT 컴파일된 함수에서 배열 타입 오판
   Object Array ←→ Double Array 혼동
        ↓
2. addrof() — 객체의 메모리 주소 노출
3. fakeobj() — 임의 주소를 객체로 위장
        ↓
4. WASM 인스턴스 오염으로 완전한 arbitrary read/write 달성
        ↓
5. Mach-O 헤더 스캐닝으로 JavaScriptCore 베이스 주소 확보

iOS 버전에 따라 두 개의 WASM 프리미티브 클래스를 사용한다:

iOS 16.4 이상: WasmPrimitive64 — 64바이트 WASM 메모리 기반
구버전 iOS: WasmPrimitive16 — 16바이트 WASM 메모리 기반

// CVE-2024-23222 핵심 원리 (의사코드)
// 1. JIT 함수로 배열 타입 오류 유발
// 2. addrof() — 객체의 메모리 주소 노출
// 3. fakeobj() — 임의 주소를 객체로 위장
// → 결합 시: 완전한 arbitrary read/write 달성

// 힙 스프레이 + JIT 강제 컴파일 → 안정적 익스플로잇
// Mach-O 헤더 스캐닝으로 JavaScriptCore 베이스 주소 확보

3-4. Stage 3 — PAC 우회 (`stage2_pac_bypass.js`)

PAC(Pointer Authentication Code) 는 ARM64e 아키텍처의 핵심 보안 기능으로,
함수 포인터에 암호학적 서명을 추가해 ROP/JOP 공격을 원천 차단하는 메커니즘이다.
Coruna는 Intl.Segmenter 객체의 내부 vtable 포인터를 오염시켜 이를 우회한다.

// PAC 우회 핵심 (의사코드)
// PACBypassBase → PACBypass 상속 구조
let seg = new Intl.Segmenter();      // 타겟 객체 생성
let iter = seg[Symbol.iterator]();   // 이터레이터 획득
// corrupt(iter.vtable_ptr)          // vtable 포인터 오염
// → ARM64 gadget chain 통해 임의 포인터 PAC 서명

PAC 우회 내장 기능:

Mach-O 로드 커맨드 파서
dyld 공유 캐시 이미지 리스트 리졸버
익스포트 트리(export trie) 파서로 심볼 주소 동적 해석
ARM64 가젯 파인더

3-5. Stage 4 — WebKit 샌드박스 탈출 (`stage3_sandbox_escape.js`)

~147KB로 가장 큰 단일 모듈. 3개의 중첩 모듈로 구성되어 있으며,
메모리상에서 직접 Mach-O 바이너리를 빌드하고 PAC 서명된 함수 포인터를 활용해
WebKit 렌더 프로세스 샌드박스 외부로 탈출한다.

모듈 1: Mach-O 파서 + ImageList (Stage 2와 공유)
모듈 2: JIT 케이지(cage) 우회 + PAC 인식 함수 호출러
모듈 3: MachOPayloadBuilder — 메모리 내 Mach-O 바이너리 동적 생성
executeSandboxEscape() — 최종 샌드박스 탈출 진입점

3-6. Stage 5~7 — 페이로드 전달 및 PLASMAGRID

파일	크기	설명
`stage4_payload_stub.js`	~1.7KB	`window["qbrdr"]()` 핸들러 호출, ~1.2KB 암호화 페이로드
`stage5_main_payload.js`	~292KB	PLASMAGRID 스테이저 (AES 암호화)
`stage6_binary_blob.bin`	~227KB	PGP 암호화 최종 바이너리 (미분석)

4. 코드 품질 분석과 출처 귀인 (Attribution)

4-1. '잘 짠 코드'의 특징 — 전문 조직 개발의 증거

공개된 코드를 분석한 보안 연구자들은 이 코드가 개인 해커나 소규모 집단의 산물이 아닌,
전문적인 소프트웨어 엔지니어링 조직이 제작한 '고품질 코드' 라는 데 공통된 의견을 보인다.

품질 지표	관찰 내용	의미
모듈식 아키텍처	8단계 독립 모듈, SHA-256 해싱 기반 동적 로딩	유지보수성·교체 용이성 설계
타입 안전성	Int64 클래스, TypeHelper DataView 추상화 레이어	64비트 포인터 정밀 제어
버전 분기 처리	iOS 버전별 오프셋 테이블 완비, 2개 WASM 프리미티브 클래스	광범위 호환성 엔지니어링
에러 핸들링	공격 중단 조건 명시적 처리	운영 보안(OPSEC) 내재화
암호화 계층	모듈별 XOR, AES, PGP 다단계 암호화	심층 방어 및 탐지 회피
C2 인프라	텔레메트리 + Google Analytics 이중 추적	정보수집·캠페인 관리

4-2. 🇺🇸 미국 전략 사이버 자산 의심 근거

이 코드가 미국 국가 수준의 사이버 전략 자산일 가능성을 강하게 뒷받침하는 다중 정황 증거가 존재한다.

가. 코드 내 미국식 영어 농담 (American English Humor)

코드 전반에 걸쳐 산재한 미국식 영어 구어체 표현과 농담(humor) 은
단순한 문화적 특징을 넘어 중요한 귀인(attribution) 단서로 작용한다.

비영어권 해커 집단이 의도적으로 이를 삽입했을 가능성은 매우 낮다
미국 영어를 모국어로 사용하는 전문 개발팀이 실제 작성했을 가능성이 압도적으로 높다
중국·러시아 APT 코드와 확연히 다른 개발 문화를 반영한다

코드 주석의 미국식 유머는 '언어적 지문(linguistic fingerprint)' 이다.
국가 귀인 분석에서 코드 스타일, 주석 언어, 명명 규칙은 기술적 지표(TTPs)와 함께
핵심 귀인 증거로 활용된다.

나. 백도어 및 고의적 설계 의심 요소

단순한 실수가 아닌, 고의적으로 설계된 것으로 의심되는 구조적 특징들이 발견된다:

① 지능적 공격 선별 (Intelligent Target Selection)

잠금 모드 감지 → 공격 즉시 중단
개인정보 보호 모드 감지 → 선택적 중단
시뮬레이터 환경 감지 → 분석 환경 회피

이는 단순 익스플로잇이 아니라 특정 대상만을 선별하여 공격하고,
보안 연구자의 분석을 의도적으로 회피하도록 설계된 전략적 구조다.

② 다단계 암호화 페이로드 구조

Stage 5: AES 암호화 (복호화 키 분리 보관)
Stage 6: PGP 암호화 최종 바이너리 (공개 분석 불가)
이는 최종 페이로드의 기능이 외부에 노출되는 것을 극도로 꺼리는 조직의 설계 방식이다

③ 듀얼 추적 인프라 (Dual Tracking Infrastructure)

자체 C2(8df7.cc) + Google Analytics(G-LKHD0572ES) 이중 피해자 추적
캠페인 ID(CHMKNI9DW334E60711) 체계적 관리
단순 사이버 범죄가 아닌, 정보 수집 및 캠페인 관리 목적의 전문 인프라

④ 버전별 세밀한 오프셋 테이블

LTgSl5: iOS 16.x 오프셋
PSNMWj: iOS 17.x 오프셋 (100000-170000+)
RoAZdq: iOS 17.x 정밀 오프셋
이 수준의 멀티 버전 지원은 장기간 Apple 내부 구조를 연구한 조직만이 가능하다

다. Trenchant / L3Harris 귀인 근거 종합

증거 유형	내용	신뢰도
내부 프로젝트명	'Coruna' — Trenchant 내부 명칭과 일치	🔴 높음
코드 품질	방산 소프트웨어 개발 관행에 부합	🟠 중-높음
언어적 지문	미국식 영어 농담, camelCase 명명 규칙	🟠 중-높음
내부자 경로	전 직원 피터 윌리엄스의 판매 행위	🔴 높음
기술 수준	PAC 우회·샌드박스 탈출 = 국가급 연구 역량 요구	🟠 중-높음

⚠️ 중요 면책 조항: 위의 내용은 공개된 코드 분석에 기반한 정황 증거 수준의 귀인 추정이다.
이를 확정적 사실로 단정하기 위해서는 추가적인 독립 검증이 필요하다.

4-3. 난독화 부재 — 분석 가능의 역설

원본 코드는 여러 난독화 레이어를 갖추고 있었으나, 중국 사이버 범죄 집단(UNC6691)이 사용한
버전에는 난독화가 충분히 적용되지 않아 분석이 가능해졌다.

적용된 난독화 기법들:

// XOR 문자열 인코딩
[35, 56, 33, 33].map(x => String.fromCharCode(x ^ 77)).join("") // → "null"

// XOR 상수 마스킹
(896953977 ^ 896953862) // → 127 (MAX_SAFE_HI32)

// SHA-256 모듈 해싱
SHA256("cecd08aa6ff548c2" + moduleId).substring(0, 40) + ".js"

// Base64 래핑 + eval
fgPoij() // Base64 디코딩 + 동적 eval — Stage 2 이후

주요 식별자 매핑:

난독화 전	난독화 후	설명
`m`	`Int64`	64비트 정수 클래스
`nn`	`TypeHelper`	DataView 기반 타입 변환
`hPL3On`	`loadModuleSync`	동기 모듈 로더
`ZKvD0e`	`loadModuleAsync`	비동기 모듈 로더 (XHR)
`fgPoij`	`evalBase64Module`	Base64 디코딩 + eval
`fqMaGkNR`	`triggerExploit`	메인 익스플로잇 진입점
`J`	`WasmPrimitive64`	64바이트 WASM 프리미티브
`$`	`WasmPrimitive16`	16바이트 WASM 프리미티브
`it`	`PACBypassBase`	PAC 우회 기반 클래스

5. C2 인프라 및 캠페인 분석

5-1. 식별된 인프라 (IOC)

지표 유형	값	용도
C2 도메인	`8df7.cc`	IP 동기화 텔레메트리 (`api/ip-sync/sync`)
Google Analytics	`G-LKHD0572ES`	방문자 분석 및 캠페인 추적
캠페인 ID	`CHMKNI9DW334E60711`	공격 캠페인 식별자
모듈 솔트	`cecd08aa6ff548c2`	모듈 파일명 해싱 키
피싱 벡터	가짜 암호화폐 거래소	UNC6691 초기 접근 수단

5-2. 타겟 데이터

최종 페이로드(PLASMAGRID)는 다음 데이터를 우선 탈취하는 것으로 분석된다:

🎯 암호화폐 지갑의 복구 구문(Seed Phrase / Mnemonic)
🎯 사진 앱 내 QR 코드 (암호화폐 지갑 QR 포함)
🎯 Apple 메모(Notes) 앱 내 민감 정보
🎯 iCloud Keychain 저장 자격증명
🎯 피해자 IP 주소 및 기기 핑거프린트

6. 전략적 함의

6-1. 글로벌 사이버 무기 마켓플레이스의 실체

Coruna 사례는 국가 수준의 사이버 무기가 합법·비합법 브로커를 통해 유통되는
'그레이 마켓(Gray Market)' 생태계가 이미 구조화되어 있음을 증명한다.

Operation Zero 같은 중개자의 역할:

국가급 0-day 취약점 및 익스플로잇 킷의 매입·재판매
구매자 신원 검증 없이 (혹은 완화된 기준으로) 거래 중개
무기화된 익스플로잇의 '라이선스' 모델 운영 (일회성 vs 구독형)
국가 행위자와 범죄 집단의 혼합 고객 구성

과거에는 국가만이 보유 가능했던 정밀 사이버 무기가,
충분한 자금력을 갖춘 범죄 집단이라면 누구나 구매 가능한 상품이 되었다.

6-2. 사이버 전략 자산의 고도화 트렌드

트렌드	설명
플랫폼화	모듈식 아키텍처 → 취약점 교체·업그레이드 용이
OPSEC 내재화	감지 회피 로직이 핵심 기능으로 통합
버전 호환성	수년간의 iOS 버전을 단일 도구로 커버
암호화 계층화	분석을 극도로 어렵게 만드는 다단계 난독화
C2 통합	실시간 캠페인 관리 및 피해자 추적 기능

6-3. 내부자 위협(Insider Threat)이 만들어낸 리스크

피터 윌리엄스 사건은 기술력이 아무리 뛰어나도 인적 보안(Personnel Security)의 실패 하나가
국가 전략 자산 전체를 무력화할 수 있음을 보여준다.

방산·사이버 보안 기업의 내부자 위협 관리 체계 강화가 국가 안보의 핵심 과제로 부상했다.

7. 방어 대책 및 완화 방안

7-1. 즉각적 완화 조치 (개인 사용자)

조치	효과	우선순위
iOS 17.3 이상 업데이트	CVE-2024-23222 포함 전체 익스플로잇 체인 차단	🔴 최우선
잠금 모드(Lockdown Mode) 활성화	Coruna 공격 자동 중단 유발 (코드 내 감지 로직)	🔴 최우선 (업데이트 불가 시)
불명확한 링크/사이트 접속 금지	초기 감염 벡터 차단	🟡 권장
'iPhone으로 접속' 유도 사이트 주의	표적형 피싱 벡터 회피	🟡 권장

7-2. 조직 및 기업 대응

Coruna C2 도메인(8df7.cc) 및 캠페인 ID 차단 규칙 추가
WebKit 관련 CVE 패치 적용 모니터링 체계 수립
모바일 위협 방어(MTD) 솔루션 도입 검토
iOS 잠금 모드 강제 적용 정책 수립 (고위험 임직원 대상)
가짜 암호화폐 피싱 사이트 탐지를 위한 DNS 필터링 강화

7-3. 보안 연구자를 위한 탐지 지표 (IOC)

유형	값	출처
C2 도메인	`8df7.cc`	`fingerprint.js`
API 엔드포인트	`https://8df7.cc/api/ip-sync/sync`	`fingerprint.js`
Google Analytics ID	`G-LKHD0572ES`	`fingerprint.js`
캠페인 ID	`CHMKNI9DW334E60711`	`fingerprint.js`
모듈 솔트	`cecd08aa6ff548c2`	`module_loader.js`
모듈 로딩 함수	`hPL3On` (loadModuleSync)	`module_loader.js`
주 익스플로잇 진입점	`fqMaGkNR` → `triggerExploit`	`exploit_trigger.js`

8. 결론

Coruna는 단순한 iOS 익스플로잇을 넘어, 사이버 무기 생태계의 현실을 적나라하게 드러내는 역사적 사례다.

미국 방위산업 내부에서 탄생한 것으로 강하게 의심되는 정밀 도구가 내부자 위협에 의해
러시아 무기 브로커로, 다시 중국 사이버 범죄 집단으로 흘러가 일반 시민의 암호화폐를
탈취하는 데 사용되기까지의 여정은, 오늘날 사이버 안보 위협의 복잡성과 국경 없는 특성을
압축적으로 보여준다.

기술적으로는 CVE-2024-23222 하나의 취약점에서 시작해 PAC 우회, 샌드박스 탈출,
완전한 기기 장악으로 이어지는 8단계 체인은 현존하는 최고 수준의 모바일 익스플로잇 엔지니어링을 대표한다.
특히 코드 품질, 미국식 주석, 모듈식 설계는 전문 조직의 손길을 명확히 증언하며,
이것이 미국의 전략 사이버 자산이었을 가능성을 강하게 시사한다.

코드가 충분히 난독화되지 않은 채 유통되어 분석이 가능해졌다는 점은,
고급 사이버 무기의 유통 과정에서 운영 보안(OPSEC)이 얼마나 취약해질 수 있는지를 보여준다.
역설적으로, 이 취약한 고리 덕분에 보안 커뮤니티는 최신 국가급 공격 기법을 분석하고
방어 기술을 발전시킬 기회를 얻었다.

✅ 핵심 결론: iOS 17.3 이상 업데이트 또는 잠금 모드 활성화만으로
Coruna의 알려진 모든 공격 벡터를 차단할 수 있다.
사이버 무기가 아무리 정교해도, 기본적인 패치 관리와 보안 설정이 가장 효과적인 방어선임을 다시 한번 확인한다.

참고 출처

GitHub 원본 저장소: 34306/coruna_analysis
CVE 상세: CVE-2024-23222
초기 코드 추출: 보안 연구자 Duy Tran (중국 사기 인프라에서 추출 후 공개)

본 리포트는 공개된 소스 코드 및 공개 위협 인텔리전스를 기반으로 작성된 교육·방어 목적의 보안 분석 문서입니다.
분석된 취약점은 iOS 17.3 이상에서 패치 완료되었습니다.

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

🔴 Coruna iOS 익스플로잇 킷 — 한국어 심층 분석 리포트

⚠️ 분석 목적 안내

📋 목차

1. 개요

2. 위협 행위자 및 공급망 분석

2-1. 개발 기원: 미국 방위산업체 Trenchant (L3Harris 자회사)

2-2. 유출 경로: 내부자 위협 (Insider Threat)

2-3. 글로벌 사이버 무기 마켓플레이스 — 어둠의 공급망

3. 기술 심층 분석: 8단계 공격 체인

3-1. 전체 공격 흐름

3-2. Stage 1 — 장치 지문 수집 (`platform_module.js`)

3-3. Stage 2 — CVE-2024-23222 (WebKit JIT Type Confusion)

3-4. Stage 3 — PAC 우회 (`stage2_pac_bypass.js`)

3-5. Stage 4 — WebKit 샌드박스 탈출 (`stage3_sandbox_escape.js`)

3-6. Stage 5~7 — 페이로드 전달 및 PLASMAGRID

4. 코드 품질 분석과 출처 귀인 (Attribution)

4-1. '잘 짠 코드'의 특징 — 전문 조직 개발의 증거

4-2. 🇺🇸 미국 전략 사이버 자산 의심 근거

가. 코드 내 미국식 영어 농담 (American English Humor)

나. 백도어 및 고의적 설계 의심 요소

다. Trenchant / L3Harris 귀인 근거 종합

4-3. 난독화 부재 — 분석 가능의 역설

5. C2 인프라 및 캠페인 분석

5-1. 식별된 인프라 (IOC)

5-2. 타겟 데이터

6. 전략적 함의

6-1. 글로벌 사이버 무기 마켓플레이스의 실체

6-2. 사이버 전략 자산의 고도화 트렌드

6-3. 내부자 위협(Insider Threat)이 만들어낸 리스크

7. 방어 대책 및 완화 방안

7-1. 즉각적 완화 조치 (개인 사용자)

7-2. 조직 및 기업 대응

7-3. 보안 연구자를 위한 탐지 지표 (IOC)

8. 결론

참고 출처

FilesExpand file tree

ANALYSIS_KR.md

Latest commit

History

ANALYSIS_KR.md

File metadata and controls

🔴 Coruna iOS 익스플로잇 킷 — 한국어 심층 분석 리포트

⚠️ 분석 목적 안내

📋 목차

1. 개요

2. 위협 행위자 및 공급망 분석

2-1. 개발 기원: 미국 방위산업체 Trenchant (L3Harris 자회사)

2-2. 유출 경로: 내부자 위협 (Insider Threat)

2-3. 글로벌 사이버 무기 마켓플레이스 — 어둠의 공급망

3. 기술 심층 분석: 8단계 공격 체인

3-1. 전체 공격 흐름

3-2. Stage 1 — 장치 지문 수집 (platform_module.js)

3-3. Stage 2 — CVE-2024-23222 (WebKit JIT Type Confusion)

3-4. Stage 3 — PAC 우회 (stage2_pac_bypass.js)

3-5. Stage 4 — WebKit 샌드박스 탈출 (stage3_sandbox_escape.js)

3-6. Stage 5~7 — 페이로드 전달 및 PLASMAGRID

4. 코드 품질 분석과 출처 귀인 (Attribution)

4-1. '잘 짠 코드'의 특징 — 전문 조직 개발의 증거

4-2. 🇺🇸 미국 전략 사이버 자산 의심 근거

가. 코드 내 미국식 영어 농담 (American English Humor)

나. 백도어 및 고의적 설계 의심 요소

다. Trenchant / L3Harris 귀인 근거 종합

4-3. 난독화 부재 — 분석 가능의 역설

5. C2 인프라 및 캠페인 분석

5-1. 식별된 인프라 (IOC)

5-2. 타겟 데이터

6. 전략적 함의

6-1. 글로벌 사이버 무기 마켓플레이스의 실체

6-2. 사이버 전략 자산의 고도화 트렌드

6-3. 내부자 위협(Insider Threat)이 만들어낸 리스크

7. 방어 대책 및 완화 방안

7-1. 즉각적 완화 조치 (개인 사용자)

7-2. 조직 및 기업 대응

7-3. 보안 연구자를 위한 탐지 지표 (IOC)

8. 결론

참고 출처

3-2. Stage 1 — 장치 지문 수집 (`platform_module.js`)

3-4. Stage 3 — PAC 우회 (`stage2_pac_bypass.js`)

3-5. Stage 4 — WebKit 샌드박스 탈출 (`stage3_sandbox_escape.js`)