2026-09-13 04:48:35 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 暗网论坛售卖iOS利用套件DarkSword与Coruna，经分析实为2026年3月已公开披露的漏洞利用链二次转售，非真正0-Day。卖家账号信誉低，标价远低于国家级利用链成本，判断为营销夸大。建议防御方关注未升级存量iPhone风险，及时补丁更新。 综合评分： 88 文章分类： 威胁情报,漏洞分析,恶意软件

暗网论坛售卖“iOS 0-Day 利用套件 DarkSword & Coruna”

原创

NightTeam NightTeam

夜组OSINT

2026年9月12日 14:55 青海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

事件概述

2026 年 9 月 11 日，黑客发布广告，声称出售两套“高端 iOS 完整利用链”：

| 商品名 | 自称覆盖版本 | 自称类型 | 标价 | | — | — | — | — | | DarkSword | iOS 18.4–18.7 | 零点击全链 | 7,500 美元（可议） | | Coruna | iOS 13–17.2.1 | 全链（含钱包窃取、凭证收割、会话劫持） | 5,000 美元（可议） |

卖家自称“已用于私有行动”“新鲜、未被检测、截至 2026 年 9 月仍可用”，同时明确拒绝测试与演示。

公开情报与上述营销文案存在关键矛盾：

DarkSword 与 Coruna 并非 2026 年 9 月新出现的未知 0-Day，而是 2026 年 3 月前后由 Google Threat Intelligence Group（GTIG）、iVerify、Lookout 等机构公开披露的 iOS 全链利用套件，并已被多家商业监控厂商与疑似国家背景集群（含 UNC6353）用于真实行动。相关漏洞已由 Apple 分批修复。
地下市场标价（合计约 1.25 万美元）远低于历史上国家级 0-Day 全链的采购成本，更符合 披露后二次市场转售 / n-day 商品化 / 控制面板包装售卖，而非“全新未披露 0-Day”。
卖家账号 2026 年 9 月注册、发帖 5、主题 5、声望 0，却挂“GOD User”标识，符合论坛付费等级或新号包装，不具备独立研发高价值 iOS 全链的信誉画像。

判断： 该帖是“国家级利用能力下沉到犯罪市场”这一趋势的最新销售样本。对防御方的意义主要在于：未升级的存量 iPhone 仍可能被已公开套件或其变种命中；对“仍是 0-Day”的宣称应视为营销话术，直至有独立样本验证。

商品声称与公开事实对照

帖内声称

DarkSword

目标：iOS 18.4–18.7
类型：零点击全链（无需用户交互）
能力：远程代码执行、沙箱逃逸、持久化、数据外带、完整设备接管
交付物：控制面板、部署脚本、私有部署协助、完整文档
状态：新鲜、未检测、2026 年 9 月仍可用
价格：7,500 美元

Coruna

目标：iOS 13–17.2.1
类型：完整攻击链，含钱包盗窃、凭证收割、会话劫持
能力：零点击、持久化、远程控制、外带
交付物：Web 控制面板、文档、私有部署支持
状态：已测可用；较旧但“极其可靠”
价格：5,000 美元

公开披露基线

Coruna（约 2026 年 3 月初公开）

面向 iOS 13.0–17.2.1 的多链利用框架，公开报道称涉及约 23 个漏洞、5 条完整链。
入口多与 WebKit/Safari 访问相关；后续被用于监控场景，并出现面向加密货币/会话的犯罪化用法。
研究侧指出其与更早的高端间谍活动组件存在技术重叠，并已进入二次市场。

DarkSword（约 2026 年 3 月 18–19 日公开）

面向 iOS 18.4–18.7 的 Web 驱动全链，公开描述为将多枚漏洞串联至内核级控制，最终投放植入。
GTIG 等观察到自约 2025 年 11 月起，被多个商业监控厂商及疑似国家背景行为体用于针对沙特、土耳其、马来西亚、乌克兰等地目标。
后续植入家族公开命名包括 GHOSTBLADE、GHOSTKNIFE、GHOSTSABER 等。
同一集群 UNC6353 此前使用 Coruna，后又引入 DarkSword，说明两套工具已在同一运营商工具箱中并存。

公开报道中与 DarkSword 相关的漏洞编号包括（供补丁核对，非利用说明）：

CVE-2025-31277、CVE-2025-43529（JavaScriptCore）
CVE-2025-14174（ANGLE）
CVE-2025-43510、CVE-2025-43520（内核相关）
CVE-2026-20700（dyld PAC 相关）

Apple 已在 iOS 18.7.x / 26.x 系列更新中分批修复；部分旧机型另有回溯补丁。2026 年 8 月仍有厂商报告 Coruna/DarkSword 二代变种域名持续出现，说明“披露 ≠ 消亡”，但也不等于卖家口中的“未被检测的 0-Day”。

关键矛盾

结论

该事件是 2026 年 iOS 国家级利用套件犯罪零售化 的典型橱窗：商品名、版本区间和能力列表几乎直接搬运已公开的 DarkSword 与 Coruna，但用“0-Day / 未被检测 / 9 月仍新鲜”包装成高价地下货。卖家画像更像转售或诈骗，而不是原开发团队。

威胁情报全球监控系统

以上威胁事件由全球威胁情报系统（dark.libaisec.com）实时监测发现，订阅会员即可查看威胁情报详情及原文件。

dark.libaisec.com

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：夜组OSINT NightTeam NightTeam《暗网论坛售卖“iOS 0-Day 利用套件 DarkSword & Coruna”》