Packagist上の13個の悪意あるComposerテーマが、iPhone訪問者からメッセージ、パスワード、暗号資産ウォレットのシード情報を窃取するiOSスパイウェアの配布に使われていることが判明しました。
このキャンペーンは、OphimCMSまたはKKPhimで構築されたベトナムの映画・コミックストリーミングサイトを標的としており、モバイル訪問者向けにすべてのページへ悪意あるJavaScriptを注入します。
サイト運営者はcomposer require経由でこれらのテーマをインストールしますが、その際、気づかないうちにフロントエンドのアセットがトロイの木馬化されてしまいます。
注入されたコードは2つの動作を実行します。AndroidとiOS双方を対象としたモバイルギャンブルへのリダイレクトチェーンと、iOS 18.4からiOS 18.6.xを実行しているiPhoneのみを標的とした高度なWebKitからカーネルへのエクスプロイトチェーンです。
このiOS向けエクスプロイトは、公開済みの2件のWebKit脆弱性(CVE-2025-31277およびCVE-2025-43529)を悪用してブラウザレンダラー内で任意の読み書きを獲得し、GPUプロセスを経由したのち、AppleM2ScalerCSCDriverのIOKitユーザークライアントを通じてカーネルへと脱出します。
Appleは、このカーネル脱出についてはすでにiOS 26.1で修正済みであることを確認しており、WebKitの侵入経路についてはiOS 18.7.3およびiOS 26.2でパッチが適用されています。
再展開されたペイロード(2026年8月)には、Bitget、BitKeep、Bitpie、Phantom、Tonkeeper、Trust Wallet、OKXの各アプリから暗号資産ウォレットのシードやニーモニックを狙う標的型クエリが追加されていました。
収集されたデータはすべてハードコードされたAES鍵で暗号化され、FUNNULLのインフラの背後に隠された、ローテーションするコマンド&コントロール(C2)ドメインへHTTPS経由で送信されます。
iOS 18.7.3以降、またはiOS 26.2以降にアップデート済みの端末は、既知のエクスプロイト段階の影響を受けません。
サイト運営者は、インストール済みのテーマを5つのベンダー名前空間(vsmov、vsphim、haiau009、chilltvcms、ophimcms)と照合し、該当するパッケージがあれば削除したうえで認証情報をローテーションし、配信されているJavaScriptに追加されたローダーがないか検査すべきです。
開発者は、Composerの依存関係をすべてピン留めしてレビューし、フロントエンドのアセットをユーザーセッション内で実行されるコードとして扱う必要があります。
今回のキャンペーンは、パッケージエコシステムにおけるサプライチェーン侵害が、ありふれたウェブサイトのテーマをドライブバイ方式のエクスプロイト配布基盤へと兵器化しうることを示しています。その影響範囲は広告詐欺から端末の完全な乗っ取り、さらには直接的な金銭窃取にまで及ぶと、Socketは述べています。
注: IPアドレスおよびドメインは、意図的に無害化表記(例: [.])としています。これは誤ったアクセスやハイパーリンク化を防ぐためです。再度有効な形式に戻す作業は、MISP、VirusTotal、自組織のSIEMなど、管理下にある脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/packagist-themes-spyware-iphone-crypto/
