Un kit de espionaje para iPhone circula entre espías rusos y ciberdelincuentes chinos
Un sofisticado conjunto de herramientas para hackear iPhones, conocido como Coruna, ha sido identificado en campañas de espionaje vinculadas a Rusia y en operaciones de robo de criptomonedas atribuidas a actores con motivación financiera en China. Lo que hace especialmente alarmante este hallazgo es que el kit habría tenido origen en un contratista de defensa del gobierno de Estados Unidos, lo que plantea preguntas urgentes sobre la cadena de custodia de las ciberarmas más avanzadas del mundo.
Cómo Google descubrió el exploit kit Coruna
El Grupo de Inteligencia de Amenazas de Google identificó por primera vez fragmentos del kit Coruna en febrero de 2025, durante el intento de un proveedor de software de vigilancia de hackear el dispositivo de un individuo en nombre de un cliente gubernamental. Meses después, Google detectó el mismo kit siendo utilizado en una campaña de espionaje rusa dirigida a usuarios en Ucrania, y posteriormente confirmó su uso por parte de hackers con motivaciones financieras operando desde China.
La firma de seguridad móvil iVerify amplió el análisis y documentó que aproximadamente 42,000 dispositivos fueron comprometidos en las campañas de los actores financieramente motivados, convirtiendo esto en lo que la compañía describió como el primer ataque masivo conocido contra iOS de este tipo.
Las capacidades técnicas del kit: 23 vulnerabilidades encadenadas
Lo que distingue a Coruna del malware convencional es su sofisticación técnica. El exploit kit puede comprometer iPhones a través de cinco cadenas de ataque independientes que explotan 23 vulnerabilidades distintas en iOS, cubriendo versiones desde iOS 13 hasta iOS 17.2.1 (lanzada en diciembre de 2023).
El vector de ataque principal son los llamados ataques de abrevadero (watering hole): sitios web maliciosos que identifican el modelo y versión del dispositivo visitante para luego desplegar código personalizado que logra ejecución remota, eludiendo las protecciones nativas de iOS. Una vez dentro del dispositivo, los ciberdelincuentes despliegan PlasmaLoader, un malware de robo financiero capaz de:
- Decodificar códigos QR y analizar texto sensible.
- Descargar módulos adicionales para vaciar billeteras de criptomonedas.
- Exfiltrar información confidencial del dispositivo comprometido.
Apple ha parcheado las vulnerabilidades subyacentes en iOS 26, pero las versiones anteriores permanecen expuestas.
El grupo de espionaje ruso UNC6353 y el objetivo ucraniano
El grupo de amenaza identificado como UNC6353, rastreado por Google como un actor vinculado a operaciones de inteligencia rusas, fue el responsable de la campaña que utilizó el exploit kit contra objetivos ucranianos. Los ataques se ejecutaron mediante contenido web malicioso embebido en sitios web ucranianos comprometidos, una táctica consistente con operaciones de ciberespionaje de alto perfil documentadas en el contexto del conflicto en la región.
Este hallazgo se suma a una serie de alertas recientes sobre actividad rusa en el ciberespacio: agencias de inteligencia de los Países Bajos también han advertido sobre campañas del Kremlin dirigidas a comprometer aplicaciones como Signal y WhatsApp en gobiernos de la OTAN.
¿Cómo llegaron herramientas de defensa de EE.UU. a manos de espías y criminales?
Esta es la pregunta central que inquieta a la comunidad de ciberseguridad global. Aunque ninguna fuente confirma públicamente el nombre del contratista de defensa estadounidense implicado, tanto Google como iVerify señalan que las características del toolkit son consistentes con las de un framework de vigilancia de grado gubernamental, desarrollado originalmente por un proveedor comercial de spyware que opera bajo contratos con agencias de inteligencia.
El patrón no es nuevo: herramientas como Pegasus de NSO Group han ilustrado antes cómo el software de espionaje gubernamental puede proliferar más allá de sus usuarios originales. Sin embargo, el caso de Coruna agrega una dimensión adicional: la posibilidad de que actores estatales adversarios —en este caso Rusia y China— hayan obtenido capacidades desarrolladas con financiamiento estadounidense, ya sea mediante filtración, compra en el mercado negro o vulneración directa del contratista.
Como señaló iVerify: «La superficie de ataque es la confianza misma. Una vez que capacidades poderosas escapan de los canales gubernamentales controlados, se propagan por todo el ecosistema criminal».
Implicaciones para el ecosistema tecnológico y startups de ciberseguridad
Para los founders del ecosistema tech, este caso tiene varias lecturas prácticas:
- La seguridad mobile es una brecha subestimada: La mayoría de las startups asume que iOS es un entorno seguro. Este caso demuestra que actores con recursos avanzados pueden comprometer dispositivos Apple a escala, incluso con exploits encadenados de múltiples vulnerabilidades.
- El mercado de ciberseguridad ofensiva tiene fugas sistémicas: Herramientas desarrolladas bajo contratos gubernamentales pueden terminar en el mercado negro o en manos de adversarios. Esto crea tanto riesgos como oportunidades para startups de defensa y detección de amenazas.
- La inteligencia de amenazas como ventaja competitiva: Empresas como iVerify están demostrando que la detección proactiva de exploits en dispositivos móviles es un mercado con alta demanda y poco consolidado, especialmente en el segmento empresarial.
- Cumplimiento y supply chain de software: Para startups que trabajan con clientes de gobierno o defensa, la trazabilidad de herramientas y la auditoría de proveedores tecnológicos se vuelven críticas.
Conclusión
El caso del exploit kit Coruna es un recordatorio contundente de que la ciberseguridad no es solo un problema técnico: es un problema de gobernanza, confianza y geopolítica. Cuando las herramientas más sofisticadas del mundo —desarrolladas con recursos públicos estadounidenses— terminan en manos de espías rusos y ciberdelincuentes chinos, el daño trasciende a las organizaciones individuales y afecta la infraestructura digital global.
Para los founders tech, la lección es doble: invertir en seguridad mobile como una prioridad estratégica y mantenerse informados sobre el panorama de amenazas, porque las brechas de hoy en los sistemas de defensa son las vulnerabilidades de mañana en el ecosistema empresarial.
Profundiza estos temas con nuestra comunidad de expertos en ciberseguridad y tecnologia
Fuentes
- https://techcrunch.com/2026/03/09/an-iphone-hacking-toolkit-used-by-russian-spies-likely-came-from-u-s-military-contractor/ (fuente original)
- https://techcrunch.com/2026/03/03/a-suite-of-government-hacking-tools-targeting-iphones-is-now-being-used-by-cybercriminals/ (fuente adicional)
- https://www.nextgov.com/cybersecurity/2026/03/potential-us-built-hacking-tools-obtained-foreign-spies-and-cybercriminals-research-says/411861/ (fuente adicional)
- https://cybernews.com/security/hackers-abusing-government-grade-iphone-exploit-kit/ (fuente adicional)
