Quand les cyberarmes de L3Harris Coruna arment espions et hackers

Vous pensiez que les arsenaux numériques des États restaient sagement rangés dans leurs coffres-forts ? Coruna, le kit de hacking développé par la division Trenchant de L3Harris pour pirater des iPhone, circule désormais librement entre les mains d’espions russes et de cybercriminels chinois. Le rapport publié par le Google Threat Intelligence Group (GTIG) le 3 mars 2026 a mis en lumière une chaîne de compromission qui dépasse le simple incident de sécurité : c’est toute la doctrine du contrôle des cyberarmes d’État qui vacille.

Ce que les chercheurs ont découvert en analysant trois séries d’attaques survenues en 2025 illustre une réalité que les spécialistes redoutaient depuis des années. Les outils de hacking L3Harris Coruna ciblant les iPhone, conçus pour des gouvernements alliés, se sont transformés en marchandise de guerre froide numérique — et leur prolifération touche désormais des millions d’utilisateurs ordinaires, notamment les détenteurs de cryptomonnaies.

---

Un outil militaire digne d’un budget de plusieurs millions de dollars

Coruna n’est pas un script d’adolescent turbulent. Selon les analyses de Google et d’iVerify, ce kit repose sur cinq chaînes d’exploitation iOS complètes mobilisant au total 23 failles de sécurité, couvrant les versions d’iOS allant de la 13.0 (sortie en septembre 2019) jusqu’à la 17.2.1 (décembre 2023). Son coût de développement est estimé à plusieurs millions de dollars — une somme qui exclut d’emblée les acteurs étatiques aux moyens modestes.

Le mécanisme d’infection est élégant dans sa perversité. La technique dite du "watering hole" — ou attaque par point d’eau — consiste à piéger des sites web légitimes ou à créer de faux services liés aux cryptomonnaies. La victime visite le site, un script JavaScript caché analyse silencieusement le modèle du téléphone, la version iOS et les paramètres de sécurité. Si le profil correspond aux critères, l’outil contourne les protections natives d’iOS, élève ses privilèges et installe un programme nommé PlasmaLoader.

📌 À retenir : PlasmaLoader dispose d’un accès racine au système. Il peut télécharger des modules additionnels ou extraire directement les portefeuilles et phrases de récupération de cryptomonnaies. Un seul clic sur un lien suspect peut suffire.

Détail révélateur de la sophistication de l’outil : si le mode Verrouillage d’Apple est activé ou que l’utilisateur navigue en mode privé, Coruna s’interrompt automatiquement. Il reconnaît ses limites — ce qui, paradoxalement, témoigne de la qualité de son ingénierie. Onze des failles mobilisées n’avaient toujours pas reçu d’identifiant CVE officiel au moment du rapport Google, et cinq d’entre elles pourraient ne pas avoir été corrigées.

Peter Williams, l’homme qui a vendu les clés du coffre

L’origine américaine de Coruna, d’abord supposée, est rapidement devenue une certitude. Deux anciens employés de L3Harris ont confirmé au journaliste spécialisé Lorenzo Franceschi-Bicchierai de TechCrunch que Coruna avait été développé, au moins en partie, par la division technologique de piratage et de surveillance de Trenchant.

La chaîne de compromission en quatre temps

1. Développement — La division Trenchant de L3Harris crée Coruna pour le compte de gouvernements alliés, principalement pour infiltrer des iPhone verrouillés saisis lors d’affaires criminelles ou antiterroristes. L’outil est vendu exclusivement au gouvernement américain.
2. Le vol intérieur — Peter Williams, alors directeur général de Trenchant, vole huit failles de sécurité de type "0day" et les revend à Operation Zero, le principal courtier russe en vulnérabilités, pour la somme de 1,3 million de dollars.
3. La revente vers Moscou — Le Bureau du contrôle des avoirs étrangers (OFAC) du département du Trésor américain a précisé qu’Operation Zero a ensuite vendu ces outils volés "à au moins un utilisateur non autorisé". Cet utilisateur s’est avéré être lié au renseignement russe, qui s’en est servi pour espionner des utilisateurs ukrainiens d’iPhone en 2025.
4. La dérive criminelle — Des cybercriminels chinois ont à leur tour mis la main sur Coruna, le recyclant pour cibler des détenteurs de cryptomonnaies en Chine.

Williams a été condamné à sept ans de prison. Une peine qui reflète la gravité de la trahison, mais qui ne résout pas le problème fondamental : les outils, eux, continuent de circuler.

⚠️ Attention : Google admet ne pas savoir avec certitude comment Coruna a transité du renseignement russe vers les cybercriminels chinois. La chaîne d’attribution reste partiellement opaque, et les zones d’ombre sur la revente entre acteurs sont réelles.

Espions ukrainiens et voleurs de cryptos : deux usages, un seul outil

La bifurcation des usages de Coruna illustre parfaitement comment une cyberarme d’État peut muter selon les intérêts de ses utilisateurs successifs.

L’opération russe en Ukraine

Le renseignement russe a utilisé Coruna dans sa version la plus politique : surveiller des cibles ukrainiennes. La méthode — liens malveillants envoyés par SMS ou email, renvoyant vers des sites piégés — s’inscrit dans le cadre d’une vaste opération d’espionnage documentée par Google en février 2025. L’objectif n’était pas l’enrichissement financier mais le renseignement militaire et politique, dans le contexte du conflit en cours.

Certains chercheurs ont évoqué des similitudes techniques avec l’opération Triangulation, cette campagne sophistiquée révélée par Kaspersky en 2023, qui ciblait également des iPhone via des exploits iOS avancés. L’attribution définitive reste cependant sujette à débat — la prudence s’impose dans un domaine où les faux drapeaux sont monnaie courante.

Le recyclage chinois vers les cryptomonnaies

Les cybercriminels chinois ont opté pour une approche plus mercantile. Coruna a été redéployé via de faux services liés aux cryptomonnaies pour extraire portefeuilles numériques et phrases de récupération. La logique est imparable : un outil capable de compromettre silencieusement un iPhone est aussi capable de vider un portefeuille Ethereum ou Bitcoin en quelques secondes.

Ce détournement vers la criminalité financière numérique rappelle ce que l’histoire de la cybersécurité a déjà démontré. Comme le souligne TechCrunch, la NSA avait découvert en 2017 que ses outils pour pirater des ordinateurs Windows avaient été volés, avant d’être utilisés dans l’attaque WannaCry orchestrée par la Corée du Nord. La trajectoire se répète, avec une précision désarmante.

💡 Astuce : Si vous utilisez un iPhone sous iOS 17.2.1 ou antérieur, la mise à jour est la seule mesure de protection documentée à ce stade. L’activation du mode Verrouillage d’Apple constitue une couche de protection supplémentaire — Coruna l’identifie et s’arrête.

La mécanique systémique d’une fuite inévitable

Ce que l’affaire Coruna expose, au-delà du cas Williams, c’est une vulnérabilité structurelle inhérente à l’économie des cyberarmes. Plus ces outils sont puissants, plus leur valeur marchande est élevée — et plus la tentation de les revendre est forte.

iVerify formule le problème avec une franchise peu commune : "Plus l’utilisation de ces outils sera répandue, plus une fuite sera certaine." Il ne s’agit pas d’un scénario catastrophe mais d’une probabilité statistique. Les systèmes humains fuient, par corruption, idéologie, ou simple appât du gain.

La même dynamique touche d’autres sphères de la sécurité numérique. On a pu le constater avec l’exploit Windows CVE-2026-21533 vendu 220 000 $ sur le dark web, illustrant comment le marché noir des failles transforme les arsenaux étatiques en produits de consommation criminelle. La question n’est plus de savoir si une cyberarme finira par fuiter, mais dans combien de temps — et entre quelles mains.

Acteur	Rôle dans la chaîne	Cible documentée
L3Harris / Trenchant	Développeur original	Gouvernements alliés
Peter Williams	Intermédiaire / vendeur	Operation Zero (Russie)
Operation Zero	Courtier russe	Renseignement russe
Renseignement russe	Utilisateur étatique	Utilisateurs ukrainiens d’iPhone
Cybercriminels chinois	Recycleurs criminels	Détenteurs de cryptomonnaies

Ce que les utilisateurs de cryptomonnaies doivent comprendre

La frontière entre cyberguerre étatique et criminalité financière n’a jamais été aussi poreuse. Coruna démontre qu’un outil conçu pour surveiller des suspects antiterroristes peut, en quelques transactions opaques, devenir l’instrument d’un vol de cryptoactifs.

Pour les détenteurs de portefeuilles numériques, le vecteur d’attaque est concret : un lien reçu via un faux service crypto, un clic, et PlasmaLoader exfiltre silencieusement la phrase de récupération. Sans alarme, sans trace visible. Le tout sur un iPhone qu’on croyait sécurisé parce qu’il s’agit d’Apple.

La réalité que ce cas impose est inconfortable : vos cryptomonnaies ne sont pas uniquement menacées par des hackers ordinaires. Elles sont dans la ligne de mire d’outils développés avec des budgets de services de renseignement, conçus pour être invisibles, et désormais disponibles sur un marché secondaire informel dont personne ne contrôle véritablement les accès. La sophistication technique de l’adversaire a changé de catégorie — il serait temps que la vigilance des utilisateurs en fasse autant.