A Agência de Segurança de Infraestrutura e Cibersegurança dos Estados Unidos (CISA) adicionou oficialmente 23 vulnerabilidades do iOS, que são alvo do kit de exploits de nível estadual conhecido como Coruna, ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV). A ação significa que as falhas estão sendo ativamente exploradas por agentes de ameaças na natureza, exigindo prioridade máxima de correção por parte das agências federais e organizações do setor crítico.
O kit Coruna e seu alcance
O kit de exploits Coruna é uma ferramenta sofisticada, associada a operações de alto nível, que visa uma ampla gama de versões do sistema operacional móvel da Apple, do iOS 13 até o iOS 17.2.1. Sua inclusão no catálogo KEV da CISA segue a política da agência de exigir que todas as agências federais corrijam vulnerabilidades listadas dentro de prazos rigorosos, normalmente 21 dias para falhas de alto risco.
A natureza "nation-state-grade" (de grau estadual) do kit Coruna sugere seu uso em campanhas de espionagem direcionadas. A exploração ativa dessas falhas representa um risco significativo para usuários de dispositivos Apple, incluindo funcionários de governos, militares, ativistas e executivos de empresas que podem ser alvos de vigilância.
Impacto e contexto das vulnerabilidades
Embora a CISA não tenha detalhado individualmente cada uma das 23 vulnerabilidades adicionadas, o fato de um único kit explorar um leque tão amplo de versões do iOS indica uma coleção de falhas de dia zero (zero-day) e vulnerabilidades conhecidas (n-day) que não foram corrigidas em todos os dispositivos afetados. A Apple geralmente libera correções de segurança em atualizações regulares do iOS, mas a adoção pelos usuários nem sempre é imediata, deixando uma janela de exposição.
A ação da CISA serve como um alerta urgente para todas as organizações que permitem o uso de iPhones e iPads em seus ambientes corporativos. A exploração ativa por um kit de alto nível significa que os atacantes têm capacidade técnica avançada e provavelmente objetivos estratégicos.
Recomendações para mitigação
A medida mais crítica e imediata é garantir que todos os dispositivos iOS sob gestão da organização estejam atualizados para a versão mais recente disponível do sistema operacional, preferencialmente o iOS 17.3 ou superior, que deve incluir correções para a maioria, se não todas, as falhas exploradas pelo Coruna. As equipes de segurança devem:
- Aplicar imediatamente todas as atualizações de segurança da Apple.
- Revisar e reforçar políticas de gerenciamento de dispositivos móveis (MDM) para garantir a conformidade com patches.
- Considerar a implementação de soluções de proteção de endpoint móvel que possam detectar comportamentos anômalos ou tentativas de exploração.
- Monitorar comunicações de ameaças para indicadores de comprometimento (IOCs) associados ao kit Coruna, conforme divulgados por fornecedores de segurança.
- Educar os usuários sobre a importância crítica de instalar atualizações de segurança assim que são disponibilizadas.
A adição à lista KEV transforma a correção dessas vulnerabilidades do iOS de uma recomendação de segurança padrão em um requisito obrigatório para entidades governamentais dos EUA e um imperativo de alto risco para o setor privado global, dada a gravidade da ameaça.