Nach Darstellung von iVerify ist die Entwicklung ungewöhnlich: Zwar gelangen Werkzeuge aus staatlichen Zusammenhängen gelegentlich in kriminelle Hände, doch die breite Übernahme kompletter, anspruchsvoller iOS-Exploit-Ketten sei selten. Genau das habe sich bereits im vergangenen Frühjahr abgezeichnet und nehme nun weiter Fahrt auf. iVerify bezeichnet informell Varianten, die Elemente aus beiden Plattformen vereinen, als „Darkuna“. Telemetriedaten und Berichte Dritter deuteten laut den Forschern darauf hin, dass manche Akteure sowohl Coruna als auch DarkSword übernommen haben.
Die neueren Varianten unterscheiden sich iVerify zufolge deutlich von den ursprünglich bekannten Fassungen. Frielingsdorf sagte, die Akteure änderten an dieser Version „ziemlich viel“. Die Forscher beobachteten unter anderem aktualisierte Ziele für Prozessinjektionen, stärkere Funktionen gegen Analyse sowie neue Implantate in den angepassten Frameworks.
DarkSword wurde laut Google, iVerify und Lookout seit November 2025 gegen iPhones mit iOS 18.4 bis 18.7 eingesetzt. Die Kampagnen wurden mit mehreren kommerziellen Überwachungsanbietern und mutmaßlich staatlich unterstützten Akteuren in Verbindung gebracht, die Nutzer in Malaysia, Saudi-Arabien, der Türkei und der Ukraine ins Visier nahmen. Apple schloss DarkSword im April mit Updates.
Die Kette gilt als technisch besonders aufwendig und kombiniert mehrere Schwachstellen: die JavaScriptCore-Speicherkorruptionslücken CVE-2025-31277 und CVE-2025-43529, den Umgehungsfehler für die Zeigerauthentifizierung im Benutzermodus von dyld CVE-2026-20700, die ANGLE-Speicherkorruptionslücke CVE-2025-14174, die iOS-Kernel-Schwachstelle in der Speicherverwaltung CVE-2025-43510 sowie den iOS-Kernel-Speicherkorruptionsfehler CVE-2025-43520. Ziel der Angreifer ist laut Quelle die Erreichung von Remotecodeausführung, ein Ausbruch aus der Sandbox und eine Privilegienerweiterung, um letztlich Schadlasten zu platzieren.
Coruna ist demgegenüber eine reifere Exploit-Kette für iOS 13 bis 17.2.1. iVerify hatte das Kit zwar erst kurz vor DarkSword öffentlich besprochen, hält den Werkzeugkasten aber für Jahre älter. Er soll von einem Regierungsauftragnehmer entwickelt und an Zero-Day-Broker für massenhafte Angriffe auf iOS-Geräte verkauft worden sein. Coruna setzt 23 Schwachstellen über fünf Exploit-Ketten ein; die Entwicklung soll nach Einschätzung rund 30 bis 40 Millionen US-Dollar gekostet haben. Apple hatte die älteren, Coruna zugrunde liegenden Schwachstellen bereits 2023 und 2024 behoben.
Technisch setzt Coruna auf Watering-Hole-Angriffe: Opfer besuchen kompromittierte Websites, die Browser-Exploits, Sandbox-Ausbrüche und Privilegienerweiterungen ausliefern. Nach einer Kompromittierung injiziert Coruna laut Frielingsdorf seinen Code in legitime Systemprozesse wie den Stromversorgungs-Daemon und den Standort-Daemon, statt einen eigenen Spyware-Prozess auszuführen. Das erschwere die Erkennung. Genannt werden außerdem Funktionen für Kommando-und-Kontroll-Kommunikation, das Starten von Anwendungen, Prozessinjektion, Datenabfluss und den Diebstahl von Kryptowährungen.
Frielingsdorf erläuterte beide Frameworks in einer Sitzung auf der Black Hat USA 2026 in der vergangenen Woche. Dort betonte er, er sehe hier erstmals in relevantem Umfang, wie iOS-Exploitation auf dem Niveau staatlicher Akteure in die organisierte Cyberkriminalität übergeht. So brachte er die Nutzung von Coruna-Infrastruktur mit einer chinesischen Gruppe der organisierten Kriminalität in Verbindung und ordnete DarkSword-Bereitstellungen mehreren Akteuren weltweit zu. Teile der DarkSword-Exploit-Kette tauchten später auf GitHub auf. Nach seinen Worten besteht ein deutlicher Unterschied zwischen den Betreibern einer Schadsoftware und denjenigen, die sie ursprünglich entwickeln und verkaufen.
Zu DarkSword sagte Frielingsdorf zudem, die Kette sei darauf ausgelegt, „im Grunde alles“ zu stehlen, darunter Schlüsselbund-Zugangsdaten, WLAN-Passwörter, iCloud-Daten, Fotos und Notizen. Besonders auffällig sei, dass die Datendiebstahl-Funktionen auch auf Krypto-Wallets zielten. Das deute darauf hin, dass das Werkzeug von Anfang an auch für finanziell motivierte Cyberkriminelle interessant gewesen sein könnte.