В марте 2026 года «Лаборатория Касперского» опубликовала технический разбор эксплоит-кита Coruna и подтвердила: как минимум один его компонент применялся в «Операции Триангуляция» — APT-кампании 2023 года против устройств Apple. Ключевой поворот: раньше связь между авторами отвергалась, теперь — доказана на уровне кода. Для выпускника направления «Информационная безопасность» это готовый сценарий ВКР: тут есть и реверс-инжиниринг, и threat intelligence, и метрики обнаружения, и юридически чистый кейс для главы 1. Разберём, как превратить новость в защищаемую работу, не скатываясь к реферату.
Используйте публичные источники: технические блоги Kaspersky Securelist, Mandiant, Google TAG, Citizen Lab. Плюс — открытые коллекции IOC (AlienVault OTX, MISP-фиды), репозитории YARA-правил и результаты VirusTotal-анализов. Для ВКР этого достаточно, если правильно оформить ссылки и указать ограничения методологии.
Да, и даже нужно. ATT&CK — де-факто стандарт описания тактик, техник и процедур (TTP). В главе 1 стройте матрицу покрытия: какие техники использовал Coruna, какие — Triangulation, где пересечение. Это сразу даёт научную новизну без выдумок.
Стройте эмуляцию: разворачивайте тестовый стенд (виртуальные Android/iOS-устройства, эмуляторы), подкидывайте синтетические IOC из публичных отчётов и считайте FPR/FNR, Precision, Recall, ROC-AUC. Это защищаемо, воспроизводимо и оформляется по ГОСТ 19.301-79 как программа и методика испытаний.
Схемы — по ГОСТ 19.701-90 или UML/C4, листинги кода — в приложения с нумерацией, IOC-таблицы — с указанием даты и источника. Не публикуйте работоспособный эксплоит полностью: только сигнатуру, поведенческий паттерн или YARA-правило.
Три варианта — от «чистого» анализа до построения защитной системы. Выбирайте под свою кафедру и доступ к стендам.
Актуальность: Kaspersky официально пересмотрел оценку связи Coruna и Triangulation (март 2026). Это свежий кейс для threat intelligence.
Цель: построить матрицу MITRE ATT&CK для Coruna и выявить пересечения с Triangulation.
Задачи: изучить публичные отчёты; декомпозировать килл-чейн; сопоставить с ATT&CK; сформулировать индикаторы компрометации.
Структура: Гл.1 — обзор APT и методик анализа; Гл.2 — проектирование матрицы ATT&CK и модели IOC; Гл.3 — валидация на публичных фидах, метрики покрытия.
Актуальность: компонент Coruna уже фигурирует в реальной APT-атаке на Apple. Детекторы на базе правил закрывают разрыв между вендорскими решениями и собственными системами SOC.
Цель: разработать набор YARA/Sigma-правил и оценить его точность на публичных сэмплах и синтетических данных.
Задачи: собрать корпус сэмплов; спроектировать сигнатуры; развернуть стенд (Suricata/Zeek/Elastic SIEM); посчитать Precision/Recall.
Структура: Гл.1 — теория сигнатурного и поведенческого обнаружения, OWASP Mobile Top 10; Гл.2 — архитектура и правила; Гл.3 — тестирование по ГОСТ 19.301-79, метрики.
Актуальность: Triangulation показала, что iOS не является «непробиваемой». Методика оценки рисков нуждается в адаптации под мобильный периметр.
Цель: разработать модель оценки рисков для корпоративных iOS-устройств с учётом сценариев zero-click атак.
Задачи: проанализировать ISO/IEC 27005 и 27001; построить дерево угроз; формализовать веса рисков; апробировать на тестовой организации.
Структура: Гл.1 — стандарты и обзор атак; Гл.2 — модель и методика; Гл.3 — апробация, расчёт остаточного риска, рекомендации.
Не пересказывайте новость — стройте контекст. Покажите эволюцию APT против мобильных платформ: Pegasus, Predator, Operation Triangulation, теперь — Coruna. Объясните, почему вендоры пересматривают атрибуцию: код-совпадения (shared code artifacts, reused exploit primitives) — это объективный признак. Вставьте таблицу соответствия техник и тактик.
Техника ATT&CK — Coruna — Triangulation — Комментарий
T1190 (Exploit Public-Facing App) — нет — нет — н/д
T1404 (Exploit OS) — да (iOS chain) — да — общий примитив
T1430 (Location Tracking) — н/д — н/д — не подтверждено
T1625 (Deploy Container) — нет — нет — н/д
T1418 (Software Discovery) — да — да — схожая логика
Здесь кейс превращается в задачу. Если делаете детектор — нарисуйте C4-диаграмму: контекст (SOC, devices), контейнеры (collector, SIEM, rules engine), компоненты (YARA-модуль, Sigma-модуль, репортёр). Если делаете модель рисков — UML use-case и диаграмму классов для актива, угрозы, меры защиты. Диаграммы оформляйте по ГОСТ 19.701-90 (ЕСПД) или согласно ЕСКД, если кафедра требует.
# Пример YARA-правила для сигнатуры компонента
rule Coruna_Component_Indicator
{
meta:
author = "VKR_demo"
description = "Detects known string pattern from public Coruna report"
reference = "xakep.ru/2026/03/27/coruna-triangulation/"
date = "2026-03-27"
strings:
$s1 = "cfprefsd_ovr" ascii
$s2 = "com.apple.private.xpc" nocase
$hex = { 4D 5A ?? ?? ?? ?? 50 45 }
condition:
uint16(0) == 0x5A4D and 2 of them
}
Что бы вы ни строили — считайте количественно. Для детектора: Precision, Recall, F1, ROC-AUC, время детектирования (MTTD). Для модели рисков: остаточный риск в баллах, ROI от внедрённых мер, покрытие активами. Для ATT&CK-анализа: доля покрытых техник, коэффициент пересечения с другими APT.
| Подход | Метрика | Инструмент | Источник данных |
|---|---|---|---|
| Детектор YARA/Sigma | Precision, Recall, F1 | Suricata + Elastic | Публичные сэмплы, синтетика |
| Модель рисков | Остаточный риск, ROI | Excel/Python (pandas) | ISO/IEC 27005, опросы |
| ATT&CK-карта | % покрытия техник | ATT&CK Navigator | Отчёты вендоров |
Комиссия любит конкретику. Не «проанализировал угрозы», а «построил матрицу из 42 техник ATT&CK, покрытие — 67%, интеграция с SIEM по OpenTelemetry-логам». Опирайтесь на реальный факт: Kaspersky пересмотрел оценку — значит, методология атрибуции работает. Это ваш аргумент в дискуссии.
1. Пересказ новости вместо анализа. «Я прочитал отчёт Kaspersky и написал конспект» — это не ВКР. Нужно сравнение с другими APT, собственная классификация, минимум — матрица TTP. Начните с вопроса: «что я добавил к тому, что уже написали вендоры?»
2. Отсутствие метрик. Без Precision/Recall или остаточного риска работа превращается в реферат. Комиссия спросит: «А как вы поняли, что ваш детектор работает?» — ответ «вручную проверил пару сэмплов» не принимается.
3. Некорректная работа с IOC. Указывайте дату и источник каждого индикатора. IOC устаревают за недели — без контекста они бесполезны и превращают главу 3 в свалку строк.
Если тема с APT кажется знакомой, но непонятно, с какой стороны подступиться к практической части — можно взять бесплатную 20-минутную консультацию. Специалисты подскажут, как сузить формулировку, какой стенд собрать и где брать данные. При необходимости найдётся и помощь с дипломом по кибербезопасности — от плана до защиты. 120 часов — средний срок сопровождения одной работы.
Источник: Эксплоит-кит Coruna связан с «Операцией Триангуляция» (опубликовано 2026-03-27)