#Coruna #iOS Js 1x

wwwab

《疑似Coruna卷土重来：npm包art-template遭供应链攻击沦为iOS漏洞投送工具》(https://mp.weixin.qq.com/s/qFXVV3_oZ51SPghQZ9hHVg)
《Coruna Respawned: Compromised art-template npm Package Leads to iOS Browser Exploit Kit》(https://socket.dev/blog/coruna-respawned-compromised-art-template-npm-package)
《art-template npm Hijack Delivers iOS Browser Exploit Kit》(https://safedep.io/art-template-npm-supply-chain-compromise/)

飞翔的蒲公英

下载
绿盟（江民EDR）：

双击虚拟机跑不起来。

安天智甲：
扫描安全。双击虚拟机跑不起来。
上AI跑了一遍：

• 
  
  • 使用了大量的atob()解码base64字符串
  • 使用了大量的String.fromCharCode()和XOR混淆
  • 使用了函数名混淆如fqMaGkNL, fqMaGkN4等
    
• 关键行为分析：
  
  
  • 代码中有大量XOR编码的字符串，解码后可以看到：
    
    • fetch请求到https[:]//ip4[.]icanhazip[.]com获取IP
    • https[:]//l1ewsu3yjkqeroy[.]xyz/api - 这是一个可疑的C2服务器
    • 发送POST请求，发送channelCode, ip, deviceVersion等信息
    • 使用XMLHttpRequest发送数据
      

恶意行为分析信息窃取行为

• 收集用户IP地址（通过ip4[.]icanhazip[.]com）
• 收集操作系统版本（iOS/Android/Windows/macOS/Linux）
• 收集浏览器指纹（Chrome/Firefox/Safari/Edge版本）
• 收集设备信息并上传至C2服务器
  

C2通信行为C2服务器: https[:]//l1ewsu3yjkqeroy[.]xyz/api/ip-sync/sync通信协议: HTTPS POST传输数据: channelCode, ip, deviceVersion持久化与重连

• 设置每60秒自动刷新页面（页面劫持/重连机制）
• 持续监控浏览器状态
  

反分析/检测规避

• 检测多种浏览器环境（wF8NpI, LJ1EuL, CpDW_T, IqxL92等指纹）
• 动态解码远程配置
• 错误处理和超时机制
  

代码注入

• 混淆的XMLHttpRequest请求
• 动态执行远程代码（通过new Function(atob(...))()）
  

Error50X

事件: 对象已删除
组件: 入侵防御
结果描述: 已删除
类型: 木马
名称: HEUR:Trojan.JS.Coruna.hash
威胁级别: 高
对象路径: D:\样本
对象名称: 49554fde7424c31c.js
MD5: 6E79AE622B7EF30F31FDBCC2DC65339E

莒县小哥

xiaozhu009

飞翔的蒲公英 发表于 2026-5-21 16:49
下载
绿盟（江民EDR）：

这个AI怎么搞的呀

飞翔的蒲公英

xiaozhu009 发表于 2026-5-21 17:14
这个AI怎么搞的呀

别人发给我的，官网应该是这个https://avlclaw.antiy.cn

ahhh

eis   miss



腾讯管家  kill

xjwtzq

奇安信扫描miss

心醉咖啡

360扫描miss

fdsax

best扫描miss