Introduction

Fin mars 2026, on apprend l’existence de Coruna, un toolkit de surveillance iOS développé par un sous-traitant militaire américain pour des agences gouvernementales. Problème : il a été exploité pendant quatre ans avant d’être identifié. Volé en interne, revendu à un courtier russe, il a fini entre les mains de groupes d’espionnage russes, puis de cybercriminels asiatiques spécialisés dans la fraude crypto.

L’outil exploite des dizaines de vulnérabilités iOS distinctes réparties en cinq chaînes d’attaque complètes. Il vise les iPhones sous iOS 13 à iOS 17.2.1, soit quatre ans de versions et plusieurs centaines de millions d’appareils potentiellement exposés.

Et face à lui, Lockdown Mode a tenu. Le code de Coruna vérifie activement si Lockdown Mode est activé sur l’appareil cible, et s’il l’est, il ne fait rien. Pas de tentative. Pas de contournement. Abandon complet.

C’est une information concrète, vérifiable, qui dit quelque chose d’important sur la philosophie de sécurité derrière cette fonctionnalité.

Le problème

Quand un outil d’État devient un outil criminel

L’histoire de Coruna suit une trajectoire que les chercheurs en sécurité ont appris à reconnaître depuis les Shadow Brokers et la fuite des outils NSA en 2017 : un outil conçu pour des usages étatiques contrôlés finit par proliférer bien au-delà de son cadre d’origine.

Coruna a été développé par Trenchant, la division espionnage et surveillance de L3Harris, un grand groupe de défense américain. L’outil était prévu pour des agences gouvernementales, dans un cadre légal et opérationnel strictement défini.

Ce qui n’était pas prévu, c’est Peter Williams. Ancien directeur général chez Trenchant, Williams a subtilisé au moins huit zero-days du système interne de L3Harris entre 2022 et 2025, et les a revendus à Operation Zero, un courtier russe en zero-days, pour environ 1,3 million de dollars en cryptomonnaies et biens de luxe. En début d’année 2026, il a été condamné à 87 mois de prison fédérale.

La suite est mécanique : les outils volés passent de Trenchant à Operation Zero, d’Operation Zero à des groupes d’espionnage russes, et de là, inévitablement, à des acteurs qui n’ont aucune contrainte opérationnelle.

Concrètement : le même framework qui était censé cibler des adversaires étrangers précis s’est retrouvé en 2025 dans des attaques watering hole contre des utilisateurs ukrainiens (groupe UNC6353, identifié par Google), puis fin 2025 sur un réseau de faux sites crypto et financiers ciblant n’importe quel iPhone vulnérable.

Le problème que Coruna illustre

Coruna n’est pas un outil écrit à la va-vite par une équipe de hackers opportunistes. C’est cinq ans de recherche et développement, des techniques d’obfuscation JavaScript sur quatre couches, une exploitation chaînée de 23 vulnérabilités distinctes.

Face à ça, la vraie question n’est pas de savoir si ton iPhone peut être compromis. Il peut l’être, si tu utilises une version non patchée sans précaution particulière. La vraie question, c’est comment te protéger efficacement.

Le mécanisme

Coruna : comment ça fonctionne

Coruna est ce que les chercheurs appellent un exploit kit watering hole. Tu n’as pas besoin de cliquer sur un lien piégé ou d’ouvrir une pièce jointe. Il suffit de visiter un site web qui héberge le code malveillant, et ton iPhone fait le reste tout seul.

Le kit enchaîne cinq techniques distinctes :

1. RCE WebKit : une faille d’exécution de code à distance dans le moteur de rendu web d’Apple. C’est la porte d’entrée. Le JavaScript du site déclenche une vulnérabilité dans le moteur JIT (Just-In-Time compilation) de WebKit pour exécuter du code arbitraire.

2. Élévation de privilèges noyau : depuis le contexte navigateur, Coruna exploite une vulnérabilité kernel pour obtenir les droits root sur le système.

3. Injection dans des processus système : le code malveillant s’injecte dans des processus légitimes d’iOS, powerd et locationd, pour devenir invisible aux outils de détection classiques.

4. Déploiement de modules : depuis cette position, le kit cible plus d’une centaine d’extensions et applications de cryptomonnaie pour exfiltrer clés privées et phrases de récupération.

5. Communication C2 persistante : les communications avec le serveur de commande et contrôle passent via imagent, le démon Apple Messages, pour se fondre dans le trafic réseau normal.

C’est du travail de précision.

La réponse : Lockdown Mode

Lockdown Mode a été lancé par Apple en 2022, dans iOS 16. La promesse était explicite : une protection extrême pour les utilisateurs exposés à des menaces de niveau étatique, journalistes, défenseurs des droits humains, opposants politiques, avocats travaillant sur des affaires sensibles.

Le principe est simple mais radical : réduire la surface d’attaque au maximum, quitte à casser des fonctionnalités.

Concrètement, Lockdown Mode désactive ou restreint :

Côté Web (Safari et WebKit) : le compilateur JIT JavaScript est coupé. WebAssembly est désactivé. Plusieurs technologies web avancées sont bloquées. Les performances de navigation chutent de façon significative dans les benchmarks, parfois jusqu’à 95%. Ce n’est pas un bug. C’est le point.

Côté messagerie : la plupart des types de pièces jointes sont bloqués. Les previews de liens sont désactivés. Les appels entrants de personnes non présentes dans les contacts sont bloqués par défaut.

Côté réseau : la connexion automatique aux réseaux Wi-Fi non sécurisés est désactivée. Les réseaux 2G, historiquement exploités pour des attaques IMSI, sont bloqués.

Côté appareils connectés : les accessoires USB nécessitent une approbation explicite, même si l’iPhone est verrouillé.

L’idée centrale est celle-là : si tu élimines les parseurs complexes, si tu coupes les chemins d’exécution de code dynamique, si tu supprimes les surfaces qui ne sont strictement pas nécessaires, alors la plupart des exploits n’ont plus rien sur quoi s’appuyer.

Coruna confirme cette logique. Le kit vérifie la présence de Lockdown Mode via deux sondes spécifiques sur des API désactivées en mode Lockdown : IndexedDB et les opérations MathML. Si ces API ne répondent pas, Coruna conclut qu’il est face à un appareil en Lockdown Mode et abandonne l’attaque. Pas de tentative de bypass. Pas de plan B. Il repart les mains vides.

Quatre ans de zéro compromission documentée

Apple a déclaré fin mars 2026 : “Nous n’avons connaissance d’aucune attaque de spyware mercenaire réussie contre un appareil Apple sur lequel Lockdown Mode était activé.”

C’est Apple qui parle, donc prendre avec une certaine prudence. Mais l’affirmation est corroborée indépendamment.

Donncha Ó Cearbhaill, directeur du Security Lab d’Amnesty International, a confirmé n’avoir “vu aucune preuve d’un iPhone compromis par un spyware mercenaire avec Lockdown Mode actif au moment de l’attaque.”

Le Citizen Lab de l’Université de Toronto, qui documente les attaques de spyware depuis des années, a lui-même confirmé au moins deux cas où Lockdown Mode a activement bloqué des attaques, une tentative liée à Pegasus de NSO Group, et une autre liée à Predator d’Intellexa.

Quatre ans. Zéro compromission documentée. Face à des outils de niveau gouvernemental.

Pour qui Lockdown Mode est pertinent

Journalistes d’investigation travaillant sur des sujets sensibles (corruption, crime organisé, gouvernements autoritaires).

Défenseurs des droits humains opérant dans des contextes où des gouvernements ont documenté l’usage de spyware contre des activistes (NSO/Pegasus a ciblé des journalistes marocains, des dissidents saoudiens, des opposants mexicains).

Avocats travaillant sur des affaires confidentielles (États, corruption, blanchiment, etc.).

Dirigeants d’entreprises détenant des actifs numériques ou des données sensibles (cryptos, brevets, fichiers clients).

Militants politiques dans des pays où le gouvernement a un historique d’usage de ce type d’outils contre l’opposition.

Lockdown Mode impose quelques compromis, c’est vrai. Apple l’a conçu pour des profils à risque, mais les particuliers détenteurs de wallets cryptos ont tout intérêt à l’activer aussi, vu l’explosion des stealers ciblant macOS.

Une honnêteté nécessaire : les frictions au quotidien

Lockdown Mode n’est pas indolore. Au-delà des extensions Safari désactivées, il y a des petits trucs qui finissent par agacer :

• FaceTime : les appels entrants des personnes hors contacts sont bloqués par défaut, et même certains contacts enregistrés ne passent pas. SharePlay et les Live Photos sont désactivés
• Affichage cassé sur certains sites : avec WebAssembly et JIT JavaScript coupés, des sites web modernes (apps cloud, éditeurs en ligne, certains dashboards) s’affichent mal ou ne fonctionnent plus
• Ralentissements de navigation : certains sites complexes mettent plusieurs secondes à se charger là où c’était instantané
• Profils de configuration bloqués : impossible d’installer un profil MDM si tu en as besoin pour ton boulot

J’ai testé Lockdown Mode en permanence pendant un moment, et j’ai fini par le couper. Pas parce que ce n’est pas efficace, ça l’est. Mais parce que les frictions s’accumulent et ça devient pénible au quotidien.

Le bon compromis pour la majorité : activation ponctuelle. Si tu es dirigeant de PME en déplacement dans une zone à risque (salon professionnel, voyage à l’étranger, hôtel), ou si tu te connectes sur un Wi-Fi public louche, active Lockdown Mode juste pendant la période exposée. Tu désactives une fois rentré chez toi.

Ça donne le meilleur des deux mondes : protection maximale quand tu en as vraiment besoin, confort le reste du temps.

Ce que l’histoire de Coruna dit sur la surface d’attaque

Il y a une leçon plus large dans la philosophie de Lockdown Mode que Coruna illustre : la complexité est une surface d’attaque.

Le compilateur JIT de WebKit est une merveille d’ingénierie. Il rend la navigation rapide. Il est aussi l’une des surfaces les plus exploitées dans l’histoire des attaques iOS, parce qu’il exécute du code dynamique, par définition difficile à sécuriser exhaustivement.

Lockdown Mode ne cherche pas à rendre le JIT plus sûr. Il le coupe. C’est brutal, et ça coûte quelques performances. C’est aussi efficace.

La même logique s’applique à WebAssembly, aux previews de pièces jointes, aux technologies web avancées. Chaque parseur complexe est une zone où un bug peut devenir une porte d’entrée.

Pour comprendre ce que l’architecture Apple Silicon apporte comme base à cette philosophie de sécurité, voir Apple Silicon et sécurité : ce que Secure Enclave change vraiment.

Les limites

Ce que Lockdown Mode ne fait pas

Lockdown Mode n’est pas un bouclier universel, et Apple est le premier à le dire.

Il ne protège pas contre les erreurs humaines. Si tu ouvres une pièce jointe malveillante depuis une application hors navigateur, Lockdown Mode n’intervient pas sur ce vecteur d’attaque.

Il ne protège pas contre les vulnérabilités non web. Les attaques passant par Bluetooth, des failles dans des composants système non couverts par Lockdown Mode, ou des vecteurs physiques restent hors périmètre.

“Pas de compromission documentée” n’est pas “impossible à compromettre”. La nuance est importante. On ne sait pas ce qu’on ne sait pas. Un acteur étatique ayant un bypass de Lockdown Mode fonctionnel n’a aucun intérêt à l’utiliser sur des cibles qui ne justifient pas d’exposer cette capacité.

Il n’est pas rétroactif. Si ton iPhone était déjà compromis avant l’activation de Lockdown Mode, il ne désinfecte rien.

Coruna et les versions iOS patchées

Les vulnérabilités exploitées par Coruna visent iOS 13 à iOS 17.2.1, soit des versions sorties jusqu’en décembre 2023. Apple a patché la plupart de ces failles dans les versions ultérieures d’iOS 17 et dans iOS 18.

Si tu utilises iOS 18.x à jour, Coruna ne te concerne pas directement, même sans Lockdown Mode. La mise à jour régulière d’iOS est la mesure de base, avant toute autre chose.

Pour un panorama complet des paramètres de sécurité et privacy à configurer sur macOS, voir Privacy macOS : les paramètres à changer immédiatement.

En résumé

Coruna est la preuve que personne n’est à l’abri. Un outil conçu pour des cibles d’État a fini sur des sites de phishing crypto visant des particuliers. La prolifération des armes numériques suit toujours le même chemin : du ciblé vers le massif.

Et c’est tout un écosystème qui est menacé. Il faut parfois des années à Apple pour identifier et colmater une faille. Coruna en exploitait 23 simultanément, réparties sur quatre ans de versions iOS. Le temps que les patchs arrivent, le mal est fait.

Mieux vaut prévenir que guérir. Lockdown Mode ne corrige pas les failles, il supprime les surfaces sur lesquelles elles s’appuient.

Active Lockdown Mode. Mets iOS à jour. Les deux ensemble, c’est la meilleure défense disponible aujourd’hui.