На прошлой неделе Google рассказал о том, что они нашли Coruna – тулкит эксплоитов под айфоны. Про это писали многие почти все, с аттрибуцией было непонятно – то ли кто-то Триангуляцию отреверсил, то ли сами сделали. Большинство тыкало пальцем в сторону российских шпионских структур, или в китайских. Ну конечно, все что было понятно с самого начала – было немедленно подтверждено американскими журналистами. Вот полная картина с деталями из TechCrunch. Механизм утечки — конкретный человек Петер Уильямс, 39-летний гражданин Австралии и бывший генеральный менеджер Trenchant, с 2022 по середину 2025 года продал восемь хакерских инструментов компании российскому брокеру Operation Zero за $1,3 млн. В феврале 2026-го он получил семь лет тюрьмы, признав вину. Прокуратура США заявила, что Уильямс, располагая полным доступом к сетям Trenchant, «предал» США и союзников. По версии обвинения, проданные инструменты потенциально позволяли получить доступ к «миллионам компьютеров и устройств по всему миру». Компания Operation Zero, санкционированная Минфином США в феврале 2026-го, работает исключительно с российским правительством и местными компаниями. Минфин заявил, что брокер перепродал украденные инструменты Уильямса «как минимум одному неавторизованному пользователю». Именно так российская шпионская группа UNC6353, по версии Google, получила Coruna и развернула его на скомпрометированных украинских сайтах — для точечного заражения iPhone-пользователей из конкретной геолокации. Далее инструмент, вероятно, прошёл через ещё одного брокера или был перепродан напрямую, пока не оказался у китайских киберкриминальных группировок. Связь с Operation Triangulation Два конкретных эксплойта из Coruna — Photon и Gallium — использовались как zero-days в Operation Triangulation, раскрытой Касперским в 2023 году. Один из бывших сотрудников Trenchant рассказал TechCrunch, что когда Triangulation впервые стала известна, коллеги были убеждены: как минимум один из zero-days «был нашим» и был «вытащен» из проекта, включавшего Coruna. Исследователь Костин Раю обратил внимание на использование птичьих названий для компонентов набора — Cassowary, Terrorbird, Bluebird, Jacurutu, Sparrow — как на дополнительный маркер, указывающий на Trenchant. Рокки Коул из iVerify (бывший сотрудник АНБ) указал что структура модулей Plasma, Photon и Gallium имеет сильное сходство с Triangulation; оба набора повторно используют одни и те же эксплойты. Итоговая схема: L3Harris Trenchant → Peter Williams → Operation Zero → → UNC6353 (российская разведка, Украина) → китайские киберкриминальные группы (массовые кражи крипты) История идентична Shadow Brokers/EternalBlue, но с важным отличием: там была анонимная утечка, здесь — инсайдер-предатель с установленной личностью, которого уже посадили. Что не отменяет того факта, что инструменты Five Eyes снова гуляют по рынку. @gostev_future