На прошлой неделе Google рассказал о том, что они нашли Coruna – тулкит эксплоитов под айфоны.
Про это писали многие почти все, с аттрибуцией было непонятно – то ли кто-то Триангуляцию отреверсил, то ли сами сделали. Большинство тыкало пальцем в сторону российских шпионских структур, или в китайских.

Ну конечно, все что было понятно с самого начала – было немедленно подтверждено американскими журналистами.
Вот полная картина с деталями из TechCrunch.

Механизм утечки — конкретный человек
Петер Уильямс, 39-летний гражданин Австралии и бывший генеральный менеджер Trenchant, с 2022 по середину 2025 года продал восемь хакерских инструментов компании российскому брокеру Operation Zero за $1,3 млн. В феврале 2026-го он получил семь лет тюрьмы, признав вину.
Прокуратура США заявила, что Уильямс, располагая полным доступом к сетям Trenchant, «предал» США и союзников. По версии обвинения, проданные инструменты потенциально позволяли получить доступ к «миллионам компьютеров и устройств по всему миру».

Компания Operation Zero, санкционированная Минфином США в феврале 2026-го, работает исключительно с российским правительством и местными компаниями. Минфин заявил, что брокер перепродал украденные инструменты Уильямса «как минимум одному неавторизованному пользователю».

Именно так российская шпионская группа UNC6353, по версии Google, получила Coruna и развернула его на скомпрометированных украинских сайтах — для точечного заражения iPhone-пользователей из конкретной геолокации. Далее инструмент, вероятно, прошёл через ещё одного брокера или был перепродан напрямую, пока не оказался у китайских киберкриминальных группировок.

Связь с Operation Triangulation
Два конкретных эксплойта из Coruna — Photon и Gallium — использовались как zero-days в Operation Triangulation, раскрытой Касперским в 2023 году. Один из бывших сотрудников Trenchant рассказал TechCrunch, что когда Triangulation впервые стала известна, коллеги были убеждены: как минимум один из zero-days «был нашим» и был «вытащен» из проекта, включавшего Coruna.

Исследователь Костин Раю обратил внимание на использование птичьих названий для компонентов набора — Cassowary, Terrorbird, Bluebird, Jacurutu, Sparrow — как на дополнительный маркер, указывающий на Trenchant.
Рокки Коул из iVerify (бывший сотрудник АНБ) указал что структура модулей Plasma, Photon и Gallium имеет сильное сходство с Triangulation; оба набора повторно используют одни и те же эксплойты.

Итоговая схема:

L3Harris Trenchant → Peter Williams → Operation Zero →
→ UNC6353 (российская разведка, Украина)
→ китайские киберкриминальные группы (массовые кражи крипты)

История идентична Shadow Brokers/EternalBlue, но с важным отличием: там была анонимная утечка, здесь — инсайдер-предатель с установленной личностью, которого уже посадили.
Что не отменяет того факта, что инструменты Five Eyes снова гуляют по рынку.​​​​​​​​​​​​​​​​

@gostev_future