Investigadores detectaron 13 paquetes maliciosos en Packagist que inyectan JavaScript en sitios de streaming vietnamitas para redirigir usuarios a juegos de azar y fraudes publicitarios. En dispositivos iOS desactualizados, el código explota vulnerabilidades de WebKit y el kernel para instalar spyware que roba datos personales y semillas de billeteras de criptomonedas. Se recomienda a los operadores de sitios eliminar estos paquetes y actualizar sus sistemas para mitigar el riesgo.

Investigadores de ciberseguridad han identificado un conjunto de 13 paquetes de temas maliciosos de Composer en Packagist diseñados para inyectar JavaScript en sitios vietnamitas de streaming de películas y cómics que instalen esas librerías, iniciando así el despliegue de spyware dirigido a dispositivos iOS sin actualizar.

"El código inyectado ejecuta dos operaciones contra los visitantes del sitio: una cadena de fraude publicitario móvil y redirección a juegos de azar, y, en los iPhones, una cadena de exploits de WebKit al kernel que instala spyware", afirmó Kush Pandya, investigador de seguridad de Socket aquí.

Se evalúa que esta actividad sea parte de una campaña documentada inicialmente por la empresa de seguridad de aplicaciones en marzo de 2026, que utilizaba seis paquetes maliciosos de Packagist haciéndose pasar por temas de OphimCMS para redireccionar visitantes, exfiltrar URLs, inyectar anuncios y servir, desde una infraestructura alojada en Funnull, una carga útil de segunda etapa para llevar a las víctimas a sitios de contenido adulto y juegos de azar.

El conjunto completo de paquetes, que abarcan cinco espacios de nombres de proveedores, se encuentra a continuación:

* vsmov: theme-dy, theme-rrdyw, theme-motchill, theme-vsmov
* vsphim: theme-heovl, theme-thempho
* haiau009: kkphim-legend, kkphim-motchill
* chilltvcms: theme-legend
* ophimcms: theme-dy, theme-motchill, theme-pcc, theme-rrdyw

A nivel general, el tema de Composer troyanizado inyecta JavaScript que ejecuta una redirección de fraude publicitario y juegos de azar móviles y, en los iPhones, una cadena de exploits de WebKit al kernel alojada en Funnull que termina en spyware y robo de billeteras de criptomonedas.

La cadena de ataque de iOS está diseñada para insertar un elemento iframe oculto que determina la versión de iOS y carga una versión del exploit específica para ese sistema operativo. Específicamente, aprovecha dos vulnerabilidades de WebKit: CVE-2025-31277 (corregida en la versión 18.6) y CVE-2025-43529 (corregida en las versiones 18.7.3 y 26.2), de manera análoga al kit de exploits DarkSword.

La carga útil luego sale del sandbox de WebContent hacia el proceso de la GPU, seguido de una segunda etapa que alcanza el kernel a través del cliente de usuario IOKit AppleM2ScalerCSCDriver y finalmente obtiene privilegios de lectura y escritura. Se dice que Apple ha solucionado el fallo de escape del kernel en iOS y macOS 26.1 aquí.



"Si tiene éxito, la carga útil final utiliza la lectura del kernel para recolectar bases de datos del llavero (keychain), contraseñas de Wi-Fi, la base de datos de SMS, la libreta de direcciones, fotos, cookies del navegador, historial de llamadas, historial de ubicación y bases de datos de cuentas, las cifra con AES y las sube a través de HTTPS POST /upload a un grupo rotativo de dominios de comando y control", explicó Pandya. "El trabajador envía señales del progreso de la explotación a cloudfareintcdn[.]com/wd-status.html".

Se ha descubierto que los actores de amenazas detrás de la campaña volvieron a desplegar toda la cadena de iOS alrededor del 12 de agosto de 2026, dirigiéndose principalmente a dispositivos iOS que ejecutan versiones de la 18.4 a la 18.6.x con una nueva carga útil que añade un robador de mnemónicos y semillas de billeteras de criptomonedas del Keychain de iOS.

El malware consulta el almacén de contraseñas en busca de material de billeteras de Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet y OKX, extendiéndose más allá de la recolección de datos del dispositivo hacia el robo financiero directo.

Socket señaló que los mismos cinco espacios de nombres de proveedores han publicado paquetes de temas adicionales que no llevan una carga útil activa al momento del análisis, aunque han sido configurados de tal manera que el código malicioso podría activarse a través de campos de "JS personalizado" renderizados en cada página de los sitios web.

No está claro quién está detrás de la campaña, aunque se cree que es obra de un grupo operado desde Vietnam basándose en las marcas de tiempo de los metadatos de los commits. Vale la pena señalar que los hosts de exploits de iOS se ejecutan en infraestructura proporcionada por Funnull, una entidad sancionada por EE. UU. el pasado mayo por facilitar estafas de romance que provocaron pérdidas de más de 200 millones de dólares en criptomonedas.

"Un visitante de un sitio que instaló uno de estos temas, en un iPhone que no haya sido actualizado más allá de iOS 18.6.x (desde iPhone XS hasta iPhone 16), puede sufrir la recolección y exfiltración de su llavero, contraseñas de Wi-Fi, SMS, fotos, contactos, cookies, historial de ubicación, bases de datos de cuentas y semillas de billeteras de criptomonedas simplemente cargando una página en Safari móvil", afirmó Socket.

"Cada visitante móvil también está sujeto a la cadena de redirección de juegos de azar e inyección de anuncios. Los operadores del sitio también son víctimas: distribuyeron el tema troyanizado sin saberlo y sirvieron la carga útil a sus propios usuarios".

Para contrarrestar la amenaza, se aconseja a los operadores de sitios que utilicen OphimCMS o KKPhim que comprueben si han instalado alguno de los paquetes mencionados, los eliminen si los encuentran, roten sus credenciales y auditen los scripts de jQuery y del tema en busca de indicadores de compromiso aquí.

Fuente:
THN