Un attacco mirato sfrutta 13 pacchetti Composer su Packagist per colpire iPhone con iOS non aggiornato, installando spyware che sottrae seed di wallet crypto e dati sensibili. Il malware si diffonde tramite siti di streaming vietnamiti e sfrutta vulnerabilità WebKit e kernel non ancora corrette.
Un semplice aggiornamento mancato può costare caro: chi visita siti di streaming vietnamiti con un iPhone non aggiornato rischia di vedere il proprio portachiavi, password Wi-Fi, SMS, foto, contatti e soprattutto i seed dei wallet crypto sottratti e inviati a server controllati da cybercriminali. Il tutto avviene in silenzio, tramite temi Composer malevoli distribuiti su Packagist e installati inconsapevolmente dagli operatori dei siti.
Dietro la campagna, individuata da Socket e documentata da Kush Pandya, c'è una strategia raffinata: 13 pacchetti Composer, spacciati per temi legittimi di OphimCMS e altri CMS vietnamiti, iniettano JavaScript nei siti che li adottano. Il codice malevolo attiva due catene di attacco: una per il reindirizzamento a siti di gioco d'azzardo e frodi pubblicitarie su mobile, l'altra - molto più insidiosa - per sfruttare vulnerabilità WebKit e kernel su iOS, installando spyware capace di rubare dati e seed di wallet crypto.
Come funziona l'attacco: exploit a catena e furto di wallet
Il cuore dell'attacco è una catena di exploit che parte da una semplice visita a un sito compromesso. Il JavaScript iniettato verifica la versione di iOS e, se trova un dispositivo vulnerabile (iOS 18.4-18.6.x, da iPhone XS a iPhone 16), carica un exploit WebKit (CVE-2025-31277 o CVE-2025-43529) ospitato su infrastruttura Funnull, già nota alle autorità USA per truffe crypto da oltre 200 milioni di dollari.
Superato il sandboxing WebContent, il payload passa al processo GPU e poi sfrutta una falla kernel (patchata solo in iOS 26.1 e macOS 26.1) per ottenere privilegi di lettura e scrittura. A quel punto, lo spyware estrae database del portachiavi, password Wi-Fi, SMS, rubrica, foto, cookie, cronologia chiamate e posizione, cifra tutto con AES e invia i dati via HTTPS a domini di comando e controllo che ruotano costantemente. L'ultima evoluzione del malware, distribuita da agosto 2026, aggiunge la capacità di cercare e sottrarre seed e mnemonici di wallet crypto come Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet e OKX.
Chi sono le vittime e quali pacchetti sono coinvolti
Le vittime sono sia gli utenti che visitano i siti compromessi sia gli operatori dei siti stessi, che installano i temi malevoli senza sospetti. I pacchetti coinvolti, pubblicati sotto cinque namespace (vsmov, vsphim, haiau009, chilltvcms, ophimcms), sono: theme-dy, theme-rrdyw, theme-motchill, theme-vsmov, theme-heovl, theme-thempho, kkphim-legend, kkphim-motchill, theme-legend, theme-pcc. Socket segnala che altri pacchetti degli stessi vendor, pur non attivi al momento, sono predisposti per attivare codice malevolo tramite campi "Custom JS".
Il gruppo dietro l'operazione, secondo i metadati dei commit, sarebbe vietnamita. L'infrastruttura Funnull, usata per ospitare gli exploit, è già stata sanzionata dagli Stati Uniti per il suo ruolo in truffe sentimentali e furti crypto su larga scala.
Reazioni, responsabilità e contromisure
Apple, informata da Socket, ha confermato che la vulnerabilità kernel era già stata corretta in iOS 26.1 e macOS 26.1, ma non ha fornito un CVE specifico. Le falle sfruttate sono state chiuse solo nelle versioni più recenti, lasciando scoperti milioni di dispositivi che non hanno ancora aggiornato.
Socket raccomanda agli operatori di siti che usano OphimCMS o KKPhim di verificare la presenza dei pacchetti incriminati, rimuoverli immediatamente, ruotare tutte le credenziali e controllare i file jQuery e gli script dei temi per eventuali compromissioni. Gli utenti, invece, devono aggiornare i propri dispositivi iOS all'ultima versione disponibile per evitare di cadere vittima di questa catena di exploit.
Questa campagna dimostra quanto sia fragile la sicurezza della supply chain open source e quanto velocemente attori malevoli riescano a sfruttare falle zero-day per colpire utenti finali e operatori. L'inerzia negli aggiornamenti, sia lato server che lato utente, resta il vero tallone d'Achille: chi si affida a temi di terze parti senza controlli o rimanda gli update di sistema si espone a rischi che vanno ben oltre la semplice perdita di dati. In un ecosistema dove la velocità di patching fa la differenza tra sicurezza e compromissione totale, la superficialità non è più un'opzione.
