Kampagne von 13 Ausgaben von Composer in Packagist injiziert JS und stiehlt Samen von Geldbeutel

Security-Forscher haben eine Kampagne entdeckt, die bösartigen Code über 13 Pakete von Composer-Themen verteilt, die in Packagist veröffentlicht und speziell auf vietnamesische Film- und Comic-Seiten mit Drittvorlagen gerichtet. Der Vektor ist ein stolperndes Thema, das JavaScript auf den Seiten der betroffenen Seiten injiziert; dieses Skript führt zwei parallele Operationen durch: eine redirection / ad-fraud gerichtet auf mobile und, in unupdated iPhones, eine WebKit-Betriebskette, die in der Installation von Spyware gipfelt mit der Fähigkeit, sensible Daten zu stehlen und Kryptomoneda Geldbeutel Samen.

Technisch ist der Angriff in zwei Lasten geweiht: der erste ist aggressiv in Bezug auf Werbebetrug und Verkehr (redirects user to wette site and adult content), und der zweite ist eine Browser-Explosion speziell gegen mobile Safari orchestriert. Das injizierte JavaScript fügt einen versteckten iframe ein, der die iOS-Version erkennt und eine angepasste Explosion herunterlädt. Nach der von den Forschern veröffentlichten Analyse nutzt die Kette zwei WebKit Schwachstellen (identifiziert als CVE-2025-31277 und CVE-2025-43529) aus der WebContent Sandbox zu entkommen, in Richtung GPU-Prozess zu schwenken und von dort über einen IOKit-Client (ApplM2ScalerCSCDriver) Privilegien zum Kernel zu skalieren. Ziel ist es, Kernel-Lesungen / Skripte zu erhalten, um Schlüsseldatenbanken (Schlüsselkette), Wi-Fi-Passwörter, SMS, Fotos, Browser-Cookies, Anrufhistorie und Speicherort und mehr zu extrahieren; diese Dateien werden verschlüsselt und über HTTPS zu einer Rotation von Kontroll- und Kontrolldomänen exfiltriert.

Die Pakete umfassen fünf Namensräume und 13 Themen(einschließlich Varianten für OphimCMS und KKPim), veröffentlicht in Packagist als Composer Pakete, um die Installation durch Site-Administratoren zu erleichtern. Wenn Ihre Website Composer- und Drittvorlagen verwendet, ist es angezeigt, die vollständige Liste der Pakete im PHP General Repository zu überprüfen: https: //packagist.org. Die Untersuchung deutet darauf hin, dass die Angreifer die iOS-Kette um den 12. August 2026 mit einer neuen Phase, die ein mnemonic und purse Samen Dieb für mehrere beliebte Portemonnaie-Anwendungen (Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet und OKX) hinzugefügt.

Wer ist es? Erste zwei Gruppen: Betreiber von Websites, die die stolpernden Themen installiert haben (die in vielen Fällen indirekt Opfer sind, die unwissentlich die Nutzlast verteilt haben) und mobile Besucher auf diese Websites. Unter den Besuchern sind iPhone-Nutzer mit ungrilliertem iOS (erwähnt als Versionen 18.4-18.6.x in der Analyse) Gefahr von tiefem Engagement und Diebstahl von Anmeldeinformationen / Vermögenswerten; alle mobilen Benutzer unterliegen dem Umleitungs- und Ad-Fraud-Schema. Die Kampagne scheint sich auf vietnamesische Streaming-Sites zu konzentrieren, und die technische Zuschreibung auf der Grundlage von Metadaten von Commit schlägt Operation aus der Region, obwohl diese Verbindung bleibt eine Schätzung und nicht eine gesetzliche Bestätigung.

Tatsächliche Folgen: Verlust der großen Privatsphäre und Risiko der direkten finanziellen Diebstahl. Neben der Exfiltration personenbezogener Daten ermöglicht die Erfassung von Geldbeuteln die direkte Entleerung von Geldern, wenn die Opfer Schlüssel auf dem Gerät oder in mobilen Anwendungen speichern. Site Operatoren leiden unter Ruf, mögliche Ad-Lieferung Netzwerk Blockierung und operative Verantwortung für die Verteilung von Malware an ihre Benutzer.

Was sollte ein Site Manager oder ein betroffener Benutzer jetzt tun. Für Website-Betreiber: zuerst identifizieren Sie, ob Ihr PHP-Projekt eine der genannten Pakete verwendet, indem Sie den Komponisten betrachten. schloss oder laufende Komponistenshow --installiert. Eine schnelle Suche auf dem Server kann mit Befehlen wie grep -E "vsmov-124; vsphim-124; haiau009-124; Chilltvcms-124; ophimcms" Komponist.lock-n oder indem Sie Themenordner durch verdächtige Skripte in Headern, Footern oder "Custom JS"-Feldern inspizieren. Wenn Sie irgendwelche finden, entfernen Sie das Paket, wiederherstellen Sie die Dateien von sauberen Kopien oder neu installieren Sie das Thema aus einer verifizierten Quelle und drehen Sie alle verwandten Anmeldeinformationen (SSH / FTP-Zugang, API-Tasten, Management-Konten und Datenbank-Anmeldeinformationen).

Außerdem, Prüfung jQuery Skripte und Vorlagen bei der Suche nach Remote-Einfügungen, die auf unbekannte Domänen oder iframes (z.B. Suche nach Ketten wie Cloud-fareintcdn oder Referenzen auf externe Infrastruktur) zeigen. Durchsuchen Sie die Webserver-Logs für ungewöhnliche Anfragen zu / hochladen oder Remote-Domains, halten Sie die Geräte für forensische Analyse und, wenn Sie Traffic zu Befehls- und Steuerungsdomänen erkennen, blockieren Sie sie in der Netzwerkschicht oder in der WAF. Betrachten Sie die Wiederherstellung von Backups vor der Paket-Installation, wenn es Anzeichen für persistentes Engagement.

Für mobile Nutzer, insbesondere iPhone Besitzer: iOS sofort auf die neueste Version aktualisieren die WebKit Schwachstellen und Kernel Flucht korrigiert. Apple veröffentlicht Sicherheitshinweise und Updates auf seinem Web; das gespeicherte Gerät zu halten ist die effektivste Verteidigung gegen Browser-Betriebsketten: https: / / support.apple.com / en-us / HT201222. Wenn Sie vermuten, dass Ihr Gerät kompromittiert wurde, trennen Sie es von unzuverlässigen Netzwerken, überprüfen installierte Anwendungen, ändern Sie Anmeldeinformationen von einem sicheren Gerät und halten Sie, dass die Schlüssel vor Ort oder in der Schlüsselkette gespeichert hätte ausgefiltert werden können - bewegen Sie also Geld zu kalten Geldbörsen (Hardware) und ermöglichen zusätzliche Sicherheitsmaßnahmen, um es zu ermöglichen.

Langfristige vorbeugende Maßnahmen: Scannen von automatisierten Einheiten in Ihren Pipelines (SCA), begrenzen Composer Paketquellen auf überprüfte Repositories, implementieren Unterschrift und Versionssperrrichtlinien (Pinning), und Überprüfung Mechanismen, die JavaScript aus CMS-fähigen Feldern injizieren lassen. Um Risiken in der Software-Versorgungskette und empfohlenen Kontrollen zu führen, siehe Community-Ressourcen wie das OWASP-Versorgungsprojekt: https: / / owasp.org / www-project-software-supply-chain-security /.

Was bestätigt ist und was noch ansteht. Bestätigt von Forschern ist die Verwendung von Composer-Paketen in Packagist, um das bösartige JavaScript, die Existenz der Redirection / ad-fraud-Kette und die Anwesenheit einer iOS-orientierten operativen Kette, die in der Datenexfiltration gipfelt zu verteilen. Schätzungen auf der Grundlage von Metadaten und Verhaltensweisen auf einen mit Vietnam verbundenen Schauspieler und auf die Wiederverwendung der von Funnill gehosteten Infrastruktur; dass die Zuschreibung plausibel, aber nicht endgültig ist. Die genaue Liste der Opfer und die zusätzlichen finanziellen Auswirkungen erfordern immer noch eine zufällige Untersuchung und die Zusammenarbeit von Netzbetreibern und Hosting-Anbietern, um Verluste zu quantifizieren.

Aktivieren Sie so schnell wie möglich: überprüfen Sie kompon.lock, aktualisieren Sie iOS-Geräte, überprüfen und entfernen Sie verdächtige Themen und bewahren Sie Beweise für die Forschung. Die Kette kombiniert eine Bedrohung von Massenbetrug mit einer realen Fähigkeit, digitale Vermögenswerte zu stehlen: ignorieren es erhöht das Risiko für Benutzer und Administratoren, die Drittanbieter-Pakete vertrauen.