Campagne de 13 numéros surmontée par Compositeur en Packagist injecte JS et vole des graines de sac

Les chercheurs en sécurité ont détecté une campagne qui distribue du code malveillant à travers 13 paquets de thèmes Compositeur publiés dans Packagist et dirigés spécialement vers des sites de films et de bandes dessinées vietnamiens utilisant des modèles tiers. Le vecteur est un thème trébuché qui injecte JavaScript sur les pages des sites touchés; ce script effectue deux opérations parallèles: une redirection / ad-fraude dirigée sur mobile et, dans les iPhones non mis à jour, une chaîne d'exploitation WebKit qui culmine dans l'installation de spyware avec la capacité de voler des données sensibles et cryptomonéda graines de sac.

Techniquement, l'attaque est bifurquée en deux charges : la première est agressive en termes de fraude publicitaire et de trafic (réoriente les utilisateurs vers les sites de paris et le contenu adulte), et la seconde est une explosion de navigateur spécifiquement orchestrée contre Safari mobile. Le JavaScript injecté insère un iframe caché qui détecte la version iOS et télécharge une explosion adaptée. Selon l'analyse publiée par les chercheurs, la chaîne exploite deux vulnérabilités de WebKit (identifiées CVE-2025-31277 et CVE-2025-43529) pour s'échapper de la boîte de sable WebContent, pour pivoter vers le processus GPU et, de là, pour mettre à l'échelle des privilèges au noyau via un client IOKit (ApplM2ScalerCSCDriver). L'objectif final est d'obtenir des lectures / écritures du noyau pour extraire les bases de données clés (keychain), les mots de passe Wi-Fi, SMS, photos, cookies de navigateur, historique des appels et emplacement, et plus encore; ces fichiers sont cryptés et exfiltrés via HTTPS à une rotation des domaines de contrôle et de contrôle.

Les paquets concernés comprennent cinq espaces de noms et 13 thèmes(y compris les variantes pour OphimCMS et KKPim), publiées dans Packagist en tant que paquets Compositeur pour faciliter l'installation par les administrateurs de site. Si votre site utilise des modèles Compositeur et tiers, il est approprié de vérifier la liste complète des paquets dans le dépôt général PHP: https: / / packagist.org. L'enquête indique que les attaquants ont redéployé la chaîne iOS vers le 12 août 2026 avec une nouvelle étape qui ajoute un voleur de semences mnémonique et de bourse pour plusieurs applications populaires de portefeuille (Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet et OKX).

À qui ça sert ? Les deux premiers groupes: opérateurs de sites qui ont installé les thèmes trébuchés (qui sont souvent des victimes indirectes qui ont distribué sans le savoir la charge utile) et visiteurs mobiles à ces sites. Parmi les visiteurs, les utilisateurs d'iPhone avec iOS non griffé (mentionné comme les versions 18.4-18.6.x dans l'analyse) sont exposés au risque d'engagement profond et de vol d'identifications / actifs; tous les utilisateurs mobiles sont soumis au schéma de redirection et de fraude publicitaire. La campagne semble se concentrer sur les sites de streaming vietnamiens, et l'attribution technique basée sur des métadonnées de commit suggère une exploitation de la région, bien que cette connexion reste une estimation et non une confirmation juridique.

Conséquences réelles: perte de la vie privée à grande échelle et risque de vol financier direct. En plus de l'exfiltration de données personnelles, la capacité de saisir des semences de bourse permet la vidange directe des fonds si les victimes stockent les clés sur l'appareil ou dans des applications mobiles. Les opérateurs du site souffrent de réputation, d'éventuels blocages du réseau de distribution publicitaire et de la responsabilité opérationnelle de la distribution de logiciels malveillants à leurs utilisateurs.

Que devrait faire un gestionnaire de site ou un utilisateur affecté maintenant. Pour les opérateurs de site web: d'abord, identifiez si votre projet PHP utilise l'un des paquets mentionnés en regardant le compositeur. verrouiller ou exécuter le spectacle du compositeur --installé. Une recherche rapide sur le serveur peut être faite avec des commandes comme E "vsmov-124; vsphinm-124; haiau009-124; pimentvcms-124; ophimcms" compositeur.lock-n ou en inspectant les dossiers thématiques par des scripts suspects dans les champs en-têtes, footers ou "Custom JS". Si vous en trouvez, retirez le paquet, restaurez les fichiers à partir de copies propres ou réinstallez le sujet à partir d'une source vérifiée et faites pivoter tous les identifiants connexes (accès SSH / FTP, clés API, comptes de gestion et identifiants de base de données).

En outre, vérification des comptes scripts et modèles jQuery à la recherche d'insertions à distance qui pointent vers des domaines ou iframes inconnus (par exemple, recherche de chaînes telles que cloud-fareintcdn ou références à une infrastructure externe). Parcourez les journaux de serveurs Web pour les demandes inhabituelles de / télécharger ou de domaines distants, gardez les appareils pour l'analyse médico-légale et, si vous détectez le trafic pour commander et contrôler des domaines, bloquez-les dans la couche réseau ou dans la WAF. Envisager de restaurer des sauvegardes avant l'installation du paquet s'il y a des signes d'engagement persistant.

Pour les utilisateurs mobiles, et en particulier Propriétaires d'iPhone: Mettre à jour immédiatement iOS vers la dernière version qui corrige les vulnérabilités de WebKit et l'évasion du noyau. Apple publie des avis de sécurité et des mises à jour sur son web; garder l'appareil patché est la défense la plus efficace contre les chaînes d'exploitation du navigateur: https: / / support.apple.com / fr-us / HT201222. Si vous soupçonnez que votre appareil a été compromis, déconnectez-le des réseaux peu fiables, examinez les applications installées, changez d'identification d'un appareil sécurisé et considérez que les clés stockées localement ou dans la chaîne de clés auraient pu être exfiltrées.

Mesures préventives à long terme : mettre en œuvre la numérisation des unités automatisées dans vos pipelines (SCA), limiter les sources de paquets Compositeur pour vérifier les dépôts, mettre en œuvre les politiques de signature et de blocage des versions (pinning) et revoir les mécanismes permettant d'injecter JavaScript à partir de champs modifiables par CMS. Pour orienter les risques dans la chaîne d'approvisionnement des logiciels et les contrôles recommandés, consultez les ressources communautaires comme le projet de sécurité de la chaîne d'approvisionnement OWASP : https: / / owasp.org / www-project-software-Supply-chain-security /.

Ce qui est confirmé et ce qui est encore en attente. Confirmé par les chercheurs est l'utilisation des paquets Composer dans Packagist pour distribuer le JavaScript malveillant, l'existence de la chaîne de redirection / ad-fraude et la présence d'une chaîne d'exploitation orientée iOS qui culmine dans l'exfiltration de données. Prévisions basé sur les métadonnées et le comportement point à un acteur lié au Vietnam et à la réutilisation de l'infrastructure hébergée par Funnill; cette attribution est plausible mais pas définitive. La liste exacte des victimes et l'impact financier supplémentaire exigent toujours une enquête incident par incident et la collaboration des opérateurs de réseau et des fournisseurs d'hébergement pour quantifier les pertes.

Agissez dès que possible : vérifiez composer.lock, mettez à jour les appareils iOS, auditez et supprimez les sujets suspects et conservez les preuves pour la recherche. La chaîne combine une menace de fraude de masse avec une réelle capacité de voler des actifs numériques : l'ignorer augmente le risque pour les utilisateurs et les administrateurs qui font confiance aux paquets tiers.