iPhone は Web を見ただけで乗っ取られる：Coruna / DarkSword 配信基盤と art-template の固定

iOS のバージョンで攻撃キット「Coruna」系と「DarkSword」系を使い分ける配信基盤が 608 ドメインで見つかった。隠し iframe で読み込まれ、操作は不要。悪用される脆弱性はすべて修正済みなので、最新 iOS への更新が対策の中心。

誘導先は出会い系・AI コンパニオン風のページや改ざんされた正規サイト。TikTok 内ブラウザーから「Safari で開き直して」と促すページもある（Coruna のローダーは Mobile Safari 以外を除外するため）。
Coruna は WebAssembly の脆弱性 CVE-2022-48503 から始まり、PAC 回避、カーネル読み書き、AMFI 状態変更、診断ログや Safari の Web サイトデータの削除まで行う。
DarkSword は iOS 18.4〜18.7.2 向け。iOS 18.6.2 の実機でメモの DB と 214 件のアプリ一覧が送信され、Telegram の認証情報を抜くモジュールも送り込まれた。

iOS を最新へ更新する。 18.x 系で止めている端末（MDM で更新を保留しているもの含む）を洗い出す。
アプリ内ブラウザーから「Safari で開いて」と促されたら開かない。
狙われやすい利用者はロックダウンモードを使う（WebAssembly などの機能が制限される）。
Web 開発側: npm パッケージ art-template の改ざん版から外部スクリプト経由で Coruna に至る経路が 5 月に報告されている（SafeDep）。使っているなら 4.13.2 以前に固定し、ロックファイルで改ざん版が入っていないか確認する。自サイトが配信基盤の一部にされないよう、読み込む外部スクリプトを棚卸しする。