iOSエクスプロイト「Coruna」「DarkSword」が犯罪組織に拡散 — 配布ドメイン約17,000件、iVerifyがBlack Hat USA 2026で公表

モバイルセキュリティ企業iVerifyは2026年8月6日、米ラスベガスで開催されたセキュリティカンファレンス「Black Hat USA 2026」で、iOS向けエクスプロイトキット「Coruna」と「DarkSword」の第2世代を配布するドメインが約17,000件に上るとの調査結果を発表した。両キットは元々、国家機関や商用スパイウェア企業だけが使う「国家レベルの道具」とみられていた。それが今、組織的なサイバー犯罪グループの手に渡り、改良されながら広範囲の配布網で使われている。

iVerifyでリサーチ部門バイスプレジデントを務めるMatthias Frielingsdorf氏は、同会議で「わずか5分でiOSエクスプロイトチェーンを展開できてしまう。これは極めて危険で、拡散しやすい」と指摘したとされる。本記事では、両エクスプロイトキットの仕組みと、公開された調査結果の要点を整理する。

2つのエクスプロイトキットとは

エクスプロイトキットとは、ソフトウェアの脆弱性（弱点）を悪用して不正プログラムを送り込むための「攻撃ツール一式」だ。iOS向けの本格的なものはこれまで、特定の個人を狙うスパイウェア（監視ソフト）の文脈で語られることが多かった。CorunaとDarkSwordは、その常識を変えた事例として注目されている。

Coruna（iOS 13〜17.2.1が標的）

Corunaは2026年3月3日、Googleの脅威情報チーム（GTIG）が公開した。iVerifyも同時期に独自解析を発表し、内部名を「CryptoWaters」と呼んだ。23件の脆弱性を5つの完全な攻撃チェーンに組み合わせ、iOS 13〜17.2.1のiPhoneを標的とする。

• 攻撃は水飲み場型（改ざんされた正規サイトを訪れただけで感染する方式）で、Safariのリモートコード実行（遠隔から不正コードを実行する攻撃）から始まる
• 感染後は、電源管理デーモン（powerd）や位置情報デーモン（locationd）など正規のシステムプロセスにコードを注入するため、検知が難しい
• メッセージ、写真、メモ、アプリデータへのアクセスに加え、暗号資産ウォレットの窃取機能を持つ
• 開発費は3,000万〜4,000万ドルと推定され、政府系請負業者が開発し、ゼロデイブローカー（未修正の脆弱性情報を仲介する業者）経由で販売されたとみられる

Corunaの基盤となった古い脆弱性は、Appleが2023年と2024年に修正済みだ。

DarkSword（iOS 18.4〜18.7が標的）

DarkSwordは2026年3月18日、iVerifyとGoogle、Lookoutが共同で公表した。2025年11月ごろから実戦使用が確認されており、ウクライナ、サウジアラビア、トルコ、マレーシアの利用者が標的となった。iVerifyの解析では、攻撃に使われたサイトにウクライナ政府のサーバー（.gov.ua）を改ざんして悪用した例も含まれていた。

• 6件の脆弱性を2つの攻撃チェーンで連鎖させ、完全な乗っ取りに至る。うち3件はゼロデイ（当時未修正）だった
• 標的はiOS 18.4〜18.7。iVerifyは「このバージョン帯は最大2億7,000万台の端末で使われている可能性がある」と推定した
• 窃取対象はWi-Fiパスワード、テキストメッセージ、通話履歴、位置情報の履歴、ブラウザ履歴、SIM・通信事業者データ、健康・メモ・カレンダーのデータに加え、暗号資産ウォレット
• 名称は、インプラント（感染後に仕込まれる不正コード）内の変数名 DarkSword-WIFI-DUMP に由来する
• 完全にJavaScriptで書かれており、専用の悪性プロセスを起動せず正規の仕組みに寄生する「ファイルレス」に近い挙動をとる

Appleは報告を受けて脆弱性を段階的に修正し、iOS 26.3のリリースでDarkSwordが使うすべての脆弱性を修正済みだ。GTIGは、攻撃に使われたドメインをGoogle Safe Browsing（危険サイト警告機能）のリストに追加している。

DarkSwordの感染チェーン

GTIGの分析によると、DarkSwordの感染は次の順序で進む。

1. リモートコード実行 — 改ざんされたサイトをSafariで開くと、JavaScriptCore（SafariのJavaScriptエンジン）のメモリ破損の脆弱性（CVE-2025-31277、またはiOS 18.6以降ではCVE-2025-43529）を悪用して不正コードを実行する。これらはdyld（プログラム読み込み機構）のポインタ認証コード（PAC）のバイパス（CVE-2026-20700）と組み合わせて使われる
2. サンドボックス脱出 — WebContentサンドボックス（ブラウザ内の隔離領域）から抜け出すため、ANGLE（グラフィックス変換ライブラリ）の脆弱性CVE-2025-14174、続いてXNU（iOSの中核カーネル）のメモリ管理の脆弱性CVE-2025-43510を悪用する
3. 権限昇格と最終ペイロード — XNUカーネルの競合状態（タイミングのずれを突く脆弱性）CVE-2025-43520で管理者権限を取得し、最終ペイロードを展開する

GTIGは、DarkSwordの感染後に展開されるマルウェアとしてGHOSTBLADE、GHOSTKNIFE、GHOSTSABERの3ファミリーを確認している。また、ロシアの諜報活動が疑われるグループ「UNC6353」が、以前はCorunaを使っていたのをDarkSwordに切り替えて水飲み場攻撃を続けていることも判明した。

犯罪組織による「第2世代」への進化

Black Hat USA 2026でiVerifyが強調したのは、**エクスプロイトの「産業化」**だ。Frielingsdorf氏は、公開後に脅威アクターがCorunaのフレームワークを改変し、次のような新しい亜種を生み出していると説明した。

• ジェイルブレイク・仮想化検知の強化 — 解析環境で動かすと動かないようにする耐解析機能
• 暗号化の改良 — 検知されにくくするための通信・ペイロードの暗号化
• Telegramを狙うインプラント — メッセージアプリのデータ窃取
• 新たな永続化メカニズム — 再起動後も感染を維持する仕組み

さらにiVerifyとPalo Alto Networksは独立に、本来は別系統だったDarkSwordとCorunaの両方を同時に使う脅威アクターを観測した。両者の技術を組み合わせたハイブリッド亜種を、iVerifyは非公式に「Darkuna」と呼んでいる。

拡散の背景には、エクスプロイトの入手ハードルが下がったことがある。iVerifyの調査では、DarkSwordのエクスプロイトチェーンの一部がGitHub上に公開された。Corunaのインフラは中国の組織的犯罪グループによる利用が確認され、DarkSwordは世界各地の複数の運用者によって展開されている。iVerifyは「低レベルの犯罪者や専門性の低い攻撃者が、高度なエクスプロイトツールにアクセスできる時代に入った。マルウェア・アズ・ア・サービスやランサムウェア・アズ・ア・サービスと同じ構図だ」と警鐘を鳴らす。

今、何をすべきか

CorunaもDarkSwordも、修正済みの脆弱性を狙う攻撃だ。つまり、iOSを最新版に保つことが最大の防御になる。

1. iOSを最新版（26.3以降）へ更新する — DarkSwordが使う脆弱性はすべてiOS 26.3で修正済み。古いiOSのまま使うと、改ざんされたサイトを訪れるだけで感染する可能性がある
2. サポート対象外の端末は使わない — iOS 13〜17系を標的にするCorunaの存在を踏まえ、OSアップデートが受けられない古いiPhoneは業務利用を避ける
3. 不審なサイト・通知に注意 — 水飲み場攻撃は「普通のサイト」を装う。身に覚えのないリンク、特にSnapchat風などの偽装ページにはアクセスしない
4. 企業はモバイル端末を監視対象に加える — iVerifyは「モバイル端末を第1級のエンドポイントとして扱い、挙動監視と可視化を導入すべきだ」と提言する。従来のMDM（モバイル端末管理）では、正規プロセスに寄生する攻撃は見えない
5. Appleの脅威通知を受け取る — スパイウェア感染の疑いがある場合、Appleは該当ユーザーに通知を送る。無視せず、指示に従って対応する

国家レベルのエクスプロイトは、もはや「特定の要人だけの問題」ではない。一般のiPhone利用者が標的になる時代に入った。まずはOS更新、そして企業はモバイルの可視化から始めるのが現実的な第一歩だ。

出典: Google Threat Intelligence Group — The Proliferation of DarkSword: iOS Exploit Chain Adopted by Multiple Threat Actors（2026年3月19日） / iVerify — Inside DarkSword: A New iOS Exploit Kit Delivered Via Compromised Legitimate Websites（2026年3月18日） / iVerify — iVerify Details DarkSword, Second Mass Attack Against iOS Disclosed in Two Weeks（2026年3月18日） / iVerify — Coruna: Inside the Nation-State-Grade iOS Exploit Kit We’ve Been Tracking（2026年3月3日） / iVerify — The Industrialization of Mobile Exploitation Has Begun（2026年3月30日） / iVerify — Black Hat USA 2026セッション案内（2026年8月6日実施）