Campanha de 13 temas trojanizados de Composer em Packagist injeta JS e rouba sementes de carteiras

Pesquisadores em segurança descobriram uma campanha que distribui código malicioso através de 13 pacotes de temas de Composer publicados em Packagist e direcionados especialmente para sites vietnamitas de cinema e quadrinhos que usam modelos de terceiros. O vetor é um tema trojanizado que injeta JavaScript nas páginas dos sites afetados; esse script realiza duas operações paralelas: um direcionamento/ad‐fraud dirigido a móveis e, em iPhones não atualizados, uma cadeia de exploração do WebKit que culmina na instalação de spyware com capacidade para roubar dados sensíveis e sementes de carteiras de criptomoedas.

Tecnicamente, o ataque se bifurca em duas cargas: a primeira é agressiva em termos de fraude publicitária e tráfego (redirige a usuários para sites de apostas e conteúdo adulto), e a segunda é um exploit de navegador especificamente orquestrado contra Safari móvel. O JavaScript injetado insere um iframe oculto que detecta a versão do iOS e descarrega um exploit adaptado. Segundo a análise publicada pelos pesquisadores, a cadeia explora duas vulnerabilidades do WebKit (identificadas como CVE-2025-31277 e CVE-2025-43529) para escapar do sandbox da WebContent, pivotar para o processo GPU e, daí, escalar privilégios até o kernel através de um cliente IOKit (AppleM2ScalerCSCDriver). O objetivo final é obter leituras/escritas no kernel para extrair bases de dados do chaveiro (keychain), senhas Wi-Fi, SMS, fotos, cookies do navegador, histórico de chamadas e localização, e mais; esses arquivos são criptografados e exfiltran via HTTPS para uma rotação de domínios de comando e controle.

Os pacotes envolvidos abrangem cinco espaços de nomes e 13 temas(entre eles variantes para OphimCMS e KKPhim), publicados em Packagist como pacotes de Composer para facilitar sua instalação por administradores de sites. Se o seu site usa Composer e modelos de terceiros, convém verificar a lista completa de pacotes no repositório geral do PHP: https://packagist.org. A pesquisa indica que os atacantes redeployaram a cadeia iOS em torno de 12 de agosto de 2026 com uma nova etapa que adiciona um ladrão de sementes de carteiras e mnemônicos para várias aplicações de wallet populares (Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet e OKX).

Quem afeta? Primária a dois grupos: operadores de sites que instalaram os temas trojanizados (que, em muitos casos, são vítimas indiretas que distribuíram o payload sem saber) e visitantes móveis desses sites. Entre visitantes, usuários do iPhone com iOS sem parchar (mencionados como versões 18.4–18.6.x na análise) estão em risco de comprometimento profundo e roubo de credenciais/ativos; todos os usuários móveis estão sujeitos ao esquema de redireccionamento e ad-fraud. A campanha parece concentrar-se em sites vietnamitas de streaming, e a atribuição técnica baseada em metadados sugere operação da região, embora essa conexão continue sendo uma estimativa e não uma confirmação legal.

Consequências reais: perda de privacidade em grande escala e risco de roubo financeiro directo. Além da ex-filtração de dados pessoais, a capacidade de capturar sementes de carteiras permite o esvaziamento direto de fundos se as vítimas armazenam chaves no dispositivo ou em aplicações móveis. Os operadores de sites sofrem reputação, possível bloqueio por redes de entrega de anúncios, e responsabilidade operacional por distribuir malware aos seus usuários.

O que deve fazer agora um administrador de site ou um usuário afetado. Para os operadores de sites: primeiro, identifique se o seu projecto PHP usa algum dos pacotes mencionados procurando em composer.lock ou executando composer show --installed. Uma pesquisa rápida no servidor pode ser realizada com comandos como grep -E "vsmov|vsphim|haiau009|chilltvcms|ophimcms" composer.lock -n ou inspeccionando pastas de temas por scripts suspeitos em cabeçalhos, footers ou campos "Custom JS". Se encontrar algum, remova o pacote, reponha os ficheiros de cópias limpas ou reinstale o tema de uma fonte verificada e rote todas as credenciais relacionadas (acessos SSH/FTP, API keys, contas de administração e credenciais de base de dados).

Adicionalmente, audite os programas jQuery e os modelos em busca de inserções remotas que apontem para domínios ou iframes desconhecidos (por exemplo, buscas de cadeias como cloudfareintcdn ou referências a infraestrutura externa). Examine os logs do servidor web para pedidos invulgares a /upload ou domínios remotos, conserve os artefatos para análise forense e, se detectar tráfego em domínios de comando e controle, bloquêelos na camada de rede ou no WAF. Considere restaurar a partir de backups anteriores à instalação do pacote se houver indícios de compromisso persistente.

Para usuários móveis, e em particular proprietários de iPhone: atualizar o iOS imediatamente para a versão mais recente que corrige as vulnerabilidades do WebKit e o escape do kernel. A Apple publica avisos de segurança e atualizações em seu site; manter o dispositivo adesivo é a defesa mais eficaz contra cadeias de exploração de navegador: https://support.apple.com/en-us/HT201222. Se suspeitar que o seu dispositivo foi comprometido, desligue-o de redes não confiáveis, verifique aplicativos instalados, mude credenciais a partir de um dispositivo seguro e considere que as chaves armazenadas localmente ou no chaveiro poderiam ter se exfiltrado — portanto, mova fundos para wallets frias (hardware) e habilite medidas de segurança adicionais em serviços que o permitam.

Medidas preventivas de longo prazo: implemente digitalização de dependências automatizadas em suas pipelines (SCA), limite de fontes de pacotes de Composer a repositórios verificados, aplique políticas de assinatura e bloqueio de versões (pinning), e verifique os mecanismos que permitem injetar JavaScript a partir de campos editáveis em CMS. Para orientar riscos na cadeia de fornecimento de software e controles recomendados, consulte recursos da comunidade como o projeto de segurança da cadeia de fornecimento de OWASP: https://owasp.org/www-project-software-supply-chain-security/.

O que está confirmado e o que ainda está pendente. Confirmado pelos pesquisadores está o uso de pacotes de Composer em Packagist para distribuir o JavaScript malicioso, a existência da cadeia de redireccionamento/ad‐fraud e a presença de uma cadeia de exploração orientada para iOS que culmina em exfiltração de dados. Estimações Baseando-se em meta- dados e comportamento apontam para um ator ligado ao Vietnã e para a reutilização de infraestrutura alojada por Funnull; essa atribuição é plausível, mas não definitiva. A lista exacta de vítimas e o impacto financeiro agregado exige ainda uma investigação incident-by-incident e a colaboração de operadores de redes e fornecedores de hospedagem para quantificar perdas.

Actúe quanto antes: verifique composer.lock, atualize dispositivos iOS, audite e remova temas suspeitos e preserve evidências para pesquisa. A cadeia combina uma ameaça de fraude em massa com uma capacidade real de roubo de ativos digitais: ignorá-la aumenta o risco tanto para usuários como para administradores que confiam em pacotes de terceiros.