Campaña de 13 temas trojanizados de Composer en Packagist inyecta JS y roba semillas de monederos

Investigadores en seguridad han detectado una campaña que distribuye código malicioso a través de 13 paquetes de temas de Composer publicados en Packagist y dirigidos especialmente a sitios vietnamitas de cine y cómics que usan plantillas de terceros. El vector es un tema trojanizado que inyecta JavaScript en las páginas de los sitios afectados; ese script realiza dos operaciones paralelas: un redireccionamiento/ad‑fraud dirigido a móviles y, en iPhones no actualizados, una cadena de explotación de WebKit que culmina en la instalación de spyware con capacidad para robar datos sensibles y semillas de monederos de criptomonedas.

Técnicamente, el ataque se bifurca en dos cargas: la primera es agresiva en términos de fraude publicitario y tráfico (redirige a usuarios hacia sitios de apuestas y contenido adulto), y la segunda es un exploit de navegador específicamente orquestado contra Safari móvil. El JavaScript inyectado inserta un iframe oculto que detecta la versión de iOS y descarga un exploit adaptado. Según el análisis publicado por los investigadores, la cadena explota dos vulnerabilidades de WebKit (identificadas como CVE-2025-31277 y CVE-2025-43529) para escapar del sandbox de WebContent, pivotar hacia el proceso GPU y, desde ahí, escalar privilegios hasta el kernel mediante un cliente IOKit (AppleM2ScalerCSCDriver). El objetivo final es obtener lecturas/escrituras en kernel para extraer bases de datos del llavero (keychain), contraseñas Wi‑Fi, SMS, fotos, cookies del navegador, historial de llamadas y de localización, y más; esos ficheros se cifran y se exfiltran vía HTTPS a una rotación de dominios de mando y control.

Los paquetes implicados abarcan cinco espacios de nombres y 13 temas (entre ellos variantes para OphimCMS y KKPhim), publicados en Packagist como paquetes de Composer para facilitar su instalación por administradores de sitios. Si su sitio usa Composer y plantillas de terceros, conviene comprobar la lista completa de paquetes en el repositorio general de PHP: https://packagist.org. La investigación indica que los atacantes redeployaron la cadena iOS alrededor del 12 de agosto de 2026 con una nueva etapa que añade un ladrón de semillas de monederos y mnemónicos para varias aplicaciones de wallet populares (Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet y OKX).

¿A quién afecta? Primariamente a dos grupos: operadores de sitios que instalaron los temas trojanizados (quienes, en muchos casos, son víctimas indirectas que distribuyeron el payload sin saberlo) y visitantes móviles de esos sitios. Entre visitantes, los usuarios de iPhone con iOS sin parchar (mencionados como versiones 18.4–18.6.x en el análisis) están en riesgo de compromiso profundo y robo de credenciales/activos; todos los usuarios móviles están sujetos al esquema de redirección y ad‑fraud. La campaña parece concentrarse en sitios vietnamitas de streaming, y la atribución técnica basada en metadatos de commits sugiere operación desde la región, aunque esa conexión sigue siendo una estimación y no una confirmación legal.

Consecuencias reales: pérdida de privacidad a gran escala y riesgo de robo financiero directo. Además de la exfiltración de datos personales, la capacidad para capturar semillas de monederos permite el vaciado directo de fondos si las víctimas almacenan claves en el dispositivo o en aplicaciones móviles. Los operadores de sitios sufren reputación, posible bloqueo por redes de entrega de anuncios, y responsabilidad operativa por distribuir malware a sus usuarios.

Qué debe hacer ahora un administrador de sitio o un usuario afectado. Para operadores de sitios web: primero, identifique si su proyecto PHP usa alguno de los paquetes mencionados buscando en composer.lock o ejecutando composer show --installed. Una búsqueda rápida en el servidor puede realizarse con comandos como grep -E "vsmov|vsphim|haiau009|chilltvcms|ophimcms" composer.lock -n o inspeccionando carpetas de temas por scripts sospechosos en cabeceras, footers o campos "Custom JS". Si encuentra alguno, retire el paquete, restablezca los archivos desde copias limpias o reinstale el tema desde una fuente verificada y rote todas las credenciales relacionadas (accesos SSH/FTP, API keys, cuentas de administración y credenciales de base de datos).

Adicionalmente, audite los scripts de jQuery y las plantillas en busca de inserciones remotas que apunten a dominios o iframes desconocidos (por ejemplo, búsquedas de cadenas como cloudfareintcdn o referencias a infraestructura externa). Examine los logs del servidor web para peticiones inusuales a /upload o a dominios remotos, conserve los artefactos para análisis forense y, si detecta tráfico a dominios de mando y control, bloquéelos en la capa de red o en el WAF. Considere restaurar desde backups previos a la instalación del paquete si hay indicios de compromiso persistente.

Para usuarios móviles, y en particular propietarios de iPhone: actualice iOS inmediatamente a la versión más reciente que corrige las vulnerabilidades de WebKit y el escape de kernel. Apple publica avisos de seguridad y actualizaciones en su web; mantener el dispositivo parcheado es la defensa más eficaz contra cadenas de explotación de navegador: https://support.apple.com/en-us/HT201222. Si sospecha que su dispositivo fue comprometido, desconéctelo de redes no confiables, revise aplicaciones instaladas, cambie credenciales desde un dispositivo seguro y considere que las claves almacenadas localmente o en el llavero podrían haberse exfiltrado —por tanto, mueva fondos a wallets frías (hardware) y habilite medidas de seguridad adicionales en servicios que lo permitan.

Medidas preventivas de largo plazo: implemente escaneo de dependencias automatizado en sus pipelines (SCA), limite fuentes de paquetes de Composer a repositorios verificados, aplique políticas de firma y bloqueo de versiones (pinning), y revise los mecanismos que permiten inyectar JavaScript desde campos editables en CMS. Para guía sobre riesgos en la cadena de suministro de software y controles recomendados, consulte recursos de la comunidad como el proyecto de seguridad de la cadena de suministro de OWASP: https://owasp.org/www-project-software-supply-chain-security/.

Qué está confirmado y qué sigue pendiente. Confirmado por los investigadores está el uso de paquetes de Composer en Packagist para distribuir el JavaScript malicioso, la existencia de la cadena de redirección/ad‑fraud y la presencia de una cadena de explotación orientada a iOS que culmina en exfiltración de datos. Estimaciones basadas en metadatos y comportamiento apuntan a un actor vinculado a Vietnam y a la reutilización de infraestructura alojada por Funnull; esa atribución es plausible pero no definitiva. La lista exacta de víctimas y el impacto financiero agregado todavía requiere una investigación incident‑by‑incident y la colaboración de operadores de redes y proveedores de hosting para cuantificar pérdidas.

Actúe cuanto antes: verifique composer.lock, actualice dispositivos iOS, audite y retire temas sospechosos y preserve evidencias para investigación. La cadena combina una amenaza de fraude masivo con una capacidad real de robo de activos digitales: ignorarla aumenta el riesgo tanto para usuarios como para administradores que confían en paquetes de terceros.