Pesquisadores de cibersegurança identificaram 13 pacotes maliciosos de temas do Composer no Packagist, criados para injetar JavaScript em sites vietnamitas de streaming de filmes e quadrinhos que instalem essas bibliotecas e iniciar a implantação de spyware voltado a dispositivos iOS sem patch.
“O código injetado executa duas operações contra os visitantes de um site: uma cadeia de redirecionamento para fraude de anúncios e jogos de azar em celulares e, nos iPhones, uma cadeia de exploit do WebKit ao kernel que instala spyware”, afirmou o pesquisador de segurança da Socket, Kush Pandya.
A atividade é considerada parte de uma campanha documentada pela empresa de segurança de aplicações em março de 2026, que usou seis pacotes maliciosos do Packagist se passando por temas do OphimCMS para redirecionar visitantes, exfiltrar URLs, injetar anúncios e distribuir, a partir de infraestrutura hospedada pela Funnull, um payload de segunda etapa para levar vítimas a sites de jogos de azar e conteúdo adulto.
O conjunto completo de pacotes, distribuído por cinco namespaces de fornecedor, é o seguinte:
vsmov: theme-dy, theme-rrdyw, theme-motchill, theme-vsmov
vsphim: theme-heovl, theme-thempho
haiau009: kkphim-legend, kkphim-motchill
chilltvcms: theme-legend
ophimcms: theme-dy, theme-motchill, theme-pcc, theme-rrdyw
Em linhas gerais, o tema do Composer trojanizado injeta JavaScript que executa um redirecionamento para jogos de azar e fraude de anúncios em celulares e, nos iPhones, uma cadeia de exploit do WebKit ao kernel hospedada pela Funnull, que termina em spyware e roubo de carteiras de criptomoedas.
A cadeia de ataque no iOS foi projetada para inserir um elemento iframe oculto que identifica a versão do iOS e carrega uma versão do exploit específica para o sistema operacional. Em especial, ela explora duas vulnerabilidades do WebKit,
CVE-2025-31277
, corrigida na versão 18.6, e CVE-2025-43529, corrigida nas versões 18.7.3 e 26.2, de forma semelhante ao kit de exploit DarkSword.
Em seguida, o payload sai da sandbox do WebContent para o processo de GPU e, depois, passa por uma segunda etapa que alcança o kernel por meio do cliente de usuário IOKit AppleM2ScalerCSCDriver, obtendo por fim privilégios de leitura e gravação. Segundo a empresa, a Apple corrigiu a falha de escape do kernel no iOS e no macOS 26.1.
“Quando tem sucesso, o payload final usa a leitura do kernel para coletar bancos de dados do chaveiro, senhas de Wi-Fi, o banco de dados de SMS, a agenda, Fotos, cookies do navegador, histórico de chamadas, histórico de localização e bancos de dados de contas, criptografa tudo com AES e envia os dados por HTTPS POST /upload para um conjunto rotativo de domínios de command and control”, explicou Pandya. “O worker informa o progresso da exploração para cloudfareintcdn[.]com/wd-status.html.”
Os threat actors por trás da campanha teriam redistribuído toda a cadeia do iOS por volta de 12 de agosto de 2026, mirando principalmente dispositivos com iOS 18.4 a 18.6.x com um novo payload que adiciona um roubador de seed e mnemonic de carteiras de criptomoedas do iOS Keychain.
O malware consulta o armazenamento de senhas em busca de material de carteiras da Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet e OKX, indo além da coleta de dados do dispositivo e avançando para furto financeiro direto.
A Socket informou que os mesmos cinco namespaces de fornecedor publicaram pacotes adicionais de temas que, no momento da análise, não continham payload ativo, embora tenham sido configurados de forma que o código malicioso possa ser ativado por campos de “Custom JS” renderizados em todas as páginas dos sites.
Ainda não está claro quem está por trás da campanha, embora se acredite que seja obra de um grupo operando no Vietnã, com base nos carimbos de data e hora dos metadados de commit. Vale destacar que os hosts do exploit para iOS operam em infraestrutura fornecida pela Funnull, entidade sancionada pelos Estados Unidos em maio passado por facilitar golpes de romance que causaram perdas superiores a US$ 200 milhões em criptomoedas.
“Um visitante de um site que instalou um desses temas, em um iPhone que não tenha sido atualizado além do iOS 18.6.x, de iPhone XS até iPhone 16, pode ter seu chaveiro, senhas de Wi-Fi, SMS, Fotos, contatos, cookies, histórico de localização, bancos de dados de contas e seeds de carteiras de criptomoedas coletados e exfiltrados ao carregar uma página no Safari móvel”, disse a Socket.
“Todo visitante em celular também está sujeito à cadeia de redirecionamento para jogos de azar e à injeção de anúncios. Os operadores do site também são vítimas: eles distribuíram o tema trojanizado sem saber e serviram o payload aos próprios usuários.”
Para reduzir o risco, operadores de sites que usam OphimCMS ou KKPhim são aconselhados a verificar se instalaram algum dos pacotes citados, removê-los caso sejam encontrados, rotacionar credenciais e auditar os scripts distribuídos de jQuery e dos temas em busca de indícios de comprometimento.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...