13 вредоносных пакетов Packagist нацелены на не обновлённые iPhone посетителей сайтов
По данным Socket, троянизированные темы для CMS внедряют JavaScript на сайты с фильмами и комиксами. На не обновлённых iPhone код может запускать цепочку уязвимостей и похищать данные, включая seed-фразы криптокошельков.
Исследователи Socket обнаружили 13 вредоносных пакетов тем в репозитории Packagist. Они включают пакеты тем OphimCMS и KKPhim, а после установки на сайты внедряют JavaScript в страницы. Основная цель кампании — посетители вьетнамских сайтов с потоковым видео и комиксами.
Для всех мобильных посетителей внедрённый код запускает перенаправления на азартные и рекламные ресурсы. Если страницу открывают в Safari на iPhone, скрипт определяет версию iOS и при подходящих условиях загружает цепочку эксплуатации уязвимостей WebKit и ядра. Socket связывает эту инфраструктуру с Funnull.
По данным исследователей, кампания в первую очередь рассчитана на устройства с iOS 18.4—18.6.x. В цепочке используются CVE-2025-31277, исправленная в iOS 18.6, и CVE-2025-43529, для которой обновления вышли в iOS 18.7.3 и 26.2. Сообщается, что уязвимость для выхода к ядру Apple исправила в iOS и macOS 26.1.
После успешной атаки вредоносная программа, как утверждает Socket, получает доступ на чтение и запись и собирает базы Keychain, пароли Wi‑Fi, SMS, контакты, фотографии, cookies браузера, историю звонков и геолокации, а также данные учётных записей. Собранная информация шифруется и отправляется на управляющие серверы.
Около 12 августа 2026 года операторы кампании повторно развернули iOS-цепочку с дополнительной функцией кражи seed-фраз и мнемонических фраз криптокошельков. Вредоносный код ищет такие данные в хранилище паролей для Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet и OKX.
Все выявленные пакеты опубликованы в пяти пространствах имён: vsmov, vsphim, haiau009, chilltvcms и ophimcms. Socket также обнаружила в этих пространствах дополнительные темы без активной вредоносной нагрузки на момент анализа, однако в них предусмотрены поля Custom JS, через которые код можно включить на всех страницах сайта.
Исследователи считают, что операторы сайтов также стали жертвами: они могли установить заражённую тему, не зная о её содержимом, и тем самым раздавать вредоносный код собственным посетителям. Владельцам сайтов на OphimCMS и KKPhim рекомендовано проверить установленные пакеты, удалить перечисленные темы, сменить учётные данные и проверить скрипты jQuery и тем на признаки компрометации.