已被俄羅斯及中國駭客取得的iOS漏洞利用工具包Coruna，傳出源自美國的國防承包商

一週前Google威脅情報團隊（GTIG）揭露iOS漏洞利用工具包Coruna，並指出有人將其用於實際攻擊，分別是：間諜軟體公司的客戶、俄羅斯國家級駭客、以經濟利益為動機的駭客，同一天行動裝置安全公司iVerify也公布調查報告，提到此套件疑似來自開發間諜軟體的公司，本週科技新聞網站TechCrunch追蹤報導此事，指出該工具很可能來自美國國防承包商L3Harris。

該媒體起初先取得iVerify的說法，他們懷疑打造Coruna的開發團隊來自一家公司，該公司打算將套件賣給美國政府。TechCrunch後續取得兩名L3Harris前員工的說法，得知此套件部分元件是L3Harris旗下的駭客與監控技術部門Trenchant開發。

一名曾於Trenchant工作且熟悉iPhone駭客工具的前員工表示，Coruna顯然是某個元件的內部名稱。他也提及，整個Trenchant工具套件涵蓋Coruna及其他數個元件。有另一名前員工向TechCrunch指出，目前公開的技術資料當中，包含了來自Trenchant的駭客工具。

由於L3Harris專門向美國政府及五眼聯盟提供Trenchant工具套件，TechCrunch推測，起初使用Coruna的單位可能是與五眼聯盟有關的軍情機構，後續不慎遭到外流。但目前Google發現的Coruna究竟有多少內容由Trenchant打造，目前仍不得而知。

究竟俄羅斯國家級駭客如何取得Coruna？TechCrunch認為很可能與L3Harris Trenchant前主管Peter Williams有關，此人在2022年開始，一直到2025年中旬辭職前，向俄羅斯公司Operation Zero出售8個L3Harris的駭客工具。美國於2025年10月起訴Williams，並於今年2月判處7年徒刑。Williams坦承以130萬美元的價格，將前述駭客工具賣給Operation Zero。

值得留意的是，美國在上個月宣布制裁Operation Zero等零時差漏洞掮客時，透露這組掮客將L3Harris的工具賣給至少一個「未經授權的使用者」。換言之，Coruna很可能是Williams盜賣的其中一項工具，俄羅斯駭客UNC6353後續透過當地的網路犯罪圈購得，並用於攻擊行動。