Новый набор для взлома iPhone целится уже в iOS 26, но за громкими обещаниями пока скрывается незаконченная цепочка. Аналитики NetAskari с помощью Hunt.io получили исходный код Divine Seagull V5. Фреймворк, который развивают китайские операторы, расширяет идеи Coruna и DarkSword двумя модулями для устройств на iOS 26.x. Набор встроен в общую C2-систему для менее опытных операторов.
Базовая ветка Divine Seagull называется Godkiller V1 и почти повторяет известную цепочку Coruna/DarkSword. После Stage0 запускаются Liangri_26 и Nextgen. Первый модуль заявляет поддержку iOS 26, однако после начального этапа снова передаёт работу старым компонентам, включая rce_module_26, который в изученных версиях оставался заглушкой без рабочего кода.
Реально работающей частью Liangri_26 оказался эксплойт WebKit для CVE-2025-43529 с оценкой 8,8 по CVSS 3.1. Ошибка use-after-free позволяет добиться выполнения кода через вредоносный веб-контент. Apple закрыла уязвимость в iOS 26.2, поэтому найденный вариант атакует прежде всего iOS 26.0 и 26.1, где исправления ещё нет. В Divine Seagull ошибка служит первым этапом атаки.
Nextgen выглядит амбициознее. Модуль параллельно пробует WebKit, WebAssembly, WebGPU, обход PAC и несколько подходов к ядру, выбирая первый полученный примитив чтения и записи памяти. Однако большинство веток пока состоят из каркасов, тестового кода или фаззеров. Даже после успешного старта дальнейший выход из песочницы опирается на механизм для iOS 17 и более ранних версий.
Разрыв между заявленной целью и реальными возможностями особенно заметен на фоне Coruna. Старый набор содержал 23 эксплойта для версий iOS от 13.0 до 17.2.1 и уже применялся в реальных атаках. Образец Divine Seagull, датированный августом 2026 года, NetAskari не считает готовым средством для полного компрометирования современных iPhone, несмотря на поддержку iOS 26 в интерфейсе.
Даже провал основной цепочки не делает Divine Seagull полностью бесполезным. Фреймворк пытается собрать из браузерной сессии cookie-файлы, localStorage, IndexedDB, историю и сохранённые формы, после чего отправляет результат на C2 как успешную операцию. В коде также заложен интерес к криптокошелькам, сообщениям, медиафайлам, журналам звонков и ключам. В режиме Lockdown такой сбор не работает.
На практике найденный код показывает скорее направление разработки, чем новый полноценный эксплойт-кит. После распространения DarkSword разработчики продолжают переносить архитектуру на свежие версии iOS и добавлять ИИ-сгенерированные компоненты. Divine Seagull пока не подтверждает рабочий взлом iOS 26.2 и новее, поскольку многие этапы остаются заглушками или наследуют старую логику.
