13件の悪意あるPackagistテーマがiPhoneの脆弱性を悪用し暗号資産ウォレットのシード情報を窃取

Packagist上の13件の悪意あるComposerテーマパッケージが、ベトナムの映画・漫画ストリーミングサイトをiPhoneスパイウェア、ギャンブルサイトへのリダイレクト、広告詐欺、そして暗号資産ウォレット窃取の配信拠点に変えていることが判明しました。

運営者がComposer経由でこれらのトロイの木馬化されたテーマの一つをインストールすると、同梱されたフロントエンドのJavaScriptがすべての訪問者に配信される仕組みになっています。

モバイルユーザーが選択的に標的とされ、古いiOSバージョンを使用しているiPhoneの訪問者は、WebKitからカーネルへと至るエクスプロイトチェーンにリダイレクトされ、極めて機微なデバイス情報を抜き取られる恐れがあります。

確認された悪意あるパッケージは、vsmov、vsphim、haiau009、chilltvcms、ophimcmsという各名前空間の下で公開されています。

これにはvsmov/theme-dy、vsmov/theme-rrdyw、vsphim/theme-heovl、haiau009/kkphim-legend、chilltvcms/theme-legend、および複数のophimcms系のバリエーションが含まれます。

今回のキャンペーンは、Socketが以前に調査した6件の悪意あるophimcmsテーマの続報にあたるものです。

研究者らの調査によると、攻撃者は正規のベトナム製ストリーミングCMSプロジェクトをフォークし、元のコード構造の大部分をそのまま残しつつ、jQueryやプレイヤースクリプト、テーマ固有のファイルといったJavaScriptアセットに悪意あるローダーを注入していました。

これにより、侵害されたサイトは攻撃者の最終目的地としてではなく、意図せぬ形で配信インフラとして利用されることになります。

注入されたコードは、検知を避けるためプラットフォームやリファラーのチェックを行います。デスクトップの訪問者、ボット、直接アクセスしてきたユーザーにはペイロードが配信されない場合がある一方、モバイルの訪問者はギャンブル・広告への誘導チェーン、またはiOSのエクスプロイトフローのいずれかに振り分けられます。

iOS向けの経路は、まず難読化されたJavaScriptから始まり、これがFUNNULLに関連するインフラから第2段階のスクリプトを復号・読み込みします。

このローダーは最終的に隠しiframeを注入し、iPhoneのOSバージョンをフィンガープリンティングした上で、それに一致するWebKitエクスプロイトをダウンロードします。

Socketの研究者らによると、5つのベンダー名前空間にまたがって配布されているこれらのパッケージは、LaravelベースのOphimCMSおよびKKPhimプラットフォームで構築されたサイトを標的にしています。

悪用されたiPhoneの脆弱性

このエクスプロイトチェーンは、古いiOSリリースに影響する2件の公知のWebKit脆弱性、CVE-2025-31277とCVE-2025-43529を武器化しています。

TryingCybersecurity And Penetration Testing Tools

CVE-2025-43529はuse-after-free脆弱性で、被害者が悪意あるWebコンテンツを処理した際にメモリ破損を引き起こす可能性があります。

Appleはこの脆弱性を、iOS 18.7.3、iOS 26.2、Safari 26.2、および対応する各Apple OSのリリースで修正済みです。

これら2件のWebKit脆弱性はいずれも、実際の悪用が確認された脆弱性を追跡しCISAがまとめている既知悪用脆弱性(KEV)カタログに追加されており、これは修復作業の優先順位付けの指針として活用されています。

WebContentレンダラー内でコード実行を獲得した後、このエクスプロイトチェーンはGPUプロセスを経由し、AppleのIOKitインターフェースであるAppleM2ScalerCSCDriverを通じてカーネルに到達します。

Socketによると、Appleは同社が本キャンペーンを報告する前に、このカーネルエスケープを可能にするコンポーネントについてはすでにiOSおよびmacOS 26.1で対処済みであったことを確認したとしています。

最終段階のスパイウェアペイロードは、キーチェーンデータベース、Wi-Fi認証情報、SMSメッセージ、連絡先、写真、ブラウザのCookie、通話履歴、位置情報履歴、アカウントデータベース、メモ、カレンダー、健康関連データを収集できます。

このマルウェアは、窃取した情報をAESで暗号化した上で、HTTPS POSTリクエストを使い、ローテーションするC2(コマンド&コントロール)インフラへと送信します。

さらに懸念すべき点として、8月に観測された再展開版のペイロードには、Bitget、BitKeep、Bitpie、Phantom、Tonkeeper、Trust Wallet、OKXの各ウォレットから暗号資産ウォレットのシードフレーズやニーモニック情報を取得するためのキーチェーン関連ルーチンが追加されていました。

この変化は、本作戦の性質が広範な監視から直接的な金銭窃取へとシフトしていることを示しています。

研究者らによると、実際に稼働しているエクスプロイトのロジックは、iOS 18.4から18.6.xを実行するiPhone XSからiPhone 16までの端末を標的としているとのことです。

このペイロードにはiOS 18.7およびiOS 26向けのオフセットテーブルが含まれておらず、これは運営者がAppleのアップデートを適用していないユーザーに狙いを絞っていることを示唆しています。

これらのパッケージは同時に、モバイル向けの広告詐欺やギャンブルトラフィックの配信にも利用されています。iPhoneおよびAndroidユーザーに表示される悪意あるバナーは、IPベースのホストや、vip344のようなキャンペーン識別子を用いたランダムな.vipランディングページへとリダイレクトされます。

Socketは、エクスプロイトのホスティングをFUNNULL関連のインフラに結び付けていますが、インフラを共有しているからといって、すべてのテナントが同一の脅威アクターによって運営されていると断定できるわけではないと注意を促しています。

同社によれば、リポジトリのメタデータやフォーク元のプロジェクトから判断する限り、Packagistの運営者はベトナムを拠点にしているとみられる一方、エクスプロイトキット自体は既製品や仲介経由で入手された能力である可能性があるとしています。

OphimCMSやKKPhimを利用しているウェブサイト運営者は、直ちにComposerの依存関係を監査し、特定された5つの名前空間に属するパッケージを削除する必要があります。

あわせて、影響を受けたサーバーが扱っていた認証情報のローテーション、フロントエンドアセットへの追加スクリプトローダーの有無の確認、そしてエスケープされていないコードを実行し得る管理者操作可能な「Custom JS」フィールドの見直しも行うべきです。

iPhoneユーザーは、iOS 18系であれば少なくともiOS 18.7.3、あるいはiOS 26.2以降にアップデートしてください。Appleの修正によって、本キャンペーンで使用された既知のWebKit段階は塞がれており、報告されていたカーネル関連コンポーネントについてもすでにiOS 26.1で対処されています。

今回の事案は、ソフトウェアサプライチェーンにおける重大な教訓を浮き彫りにしています。それは、Composerテーマや同梱されるブラウザアセットが、実質的に実行可能なコードであるという点です。

依存関係の侵害は、それをインストールしたサーバーだけでなく、そのウェブサイトを訪れるすべての訪問者を危険にさらす可能性があります。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化表記(例: [.])としています。再度有効な表記に戻す場合は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

★ どのセキュリティツールを削減すべきか?1ページでスコアリング – 「継承されたセキュリティスタック」ガイドをダウンロード