🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética identificaram um conjunto de 13 pacotes temáticos maliciosos do Composer no Packagist que são projetados para injetar JavaScript em sites vietnamitas de streaming de filmes e quadrinhos que instalam essas bibliotecas e iniciam a implantação de spyware direcionado a dispositivos iOS não corrigidos.
“O código injetado executa duas operações contra os visitantes de um site: uma cadeia de fraude de anúncios móveis e redirecionamento de jogos de azar e, em iPhones, uma cadeia de exploração do WebKit para o kernel que instala spyware”, disse o pesquisador de segurança do Socket, Kush Pandya.
A atividade é avaliada como parte de uma campanha que foi documentada pela primeira vez pela empresa de segurança de aplicativos em março de 2026, que aproveitou seis pacotes Packagist maliciosos que se apresentavam como temas OphimCMS para redirecionar visitantes, exfiltrar URLs, injetar anúncios e servir, a partir da infraestrutura hospedada pelo Funnull, uma carga útil de segundo estágio para levar as vítimas a sites de jogos de azar e conteúdo adulto.
O conjunto completo de pacotes, que abrange cinco namespaces de fornecedores, está abaixo:
vsmov: tema-dy, tema-rrdyw, tema-motchhill, tema-vsmov
vsphim: tema-heovl, tema-thempho
haiau009: kkphim-lenda, kkphim-motchhill
chilltvcms: legenda do tema
ofhimcms: tema-dy, tema-motchhill, tema-pcc, tema-rrdyw
Em um alto nível, o tema trojanizado do Composer injeta JavaScript que executa um redirecionamento de jogos de azar para dispositivos móveis e fraude publicitária e, em iPhones, uma cadeia de exploração do WebKit para o kernel hospedada pelo Funnull, terminando em spyware e roubo de carteira de criptomoeda.
A cadeia de ataque do iOS foi projetada para inserir um elemento iframe oculto que determina a versão do iOS e carrega uma versão específica do sistema operacional da exploração. Especificamente, ele arma duas vulnerabilidades do WebKit – CVE-2025-31277 (corrigido na versão 18.6) e CVE-2025-43529 (corrigido nas versões 18.7.3 e 26.2) – de uma maneira análoga ao kit de exploração DarkSword.
A carga então sai da sandbox WebContent para o processo de GPU, seguido por um segundo estágio que atinge o kernel por meio do cliente de usuário AppleM2ScalerCSCDriver IOKit e, por fim, obtém privilégios de leitura e gravação. Diz-se que a Apple corrigiu a falha de escape do kernel no iOS e no macOS 26.1.
Pandya disse ao The Hacker News que a Apple não compartilhou um identificador CVE para a vulnerabilidade de escape do kernel, mas que o fabricante do iPhone confirmou que o problema já havia sido corrigido no iOS 26.1 e no macOS 26.1 antes de receber seu relatório. Suspeita-se que seja CVE-2025-43398, CVE-2025-43510 ou CVE-2025-43520, todos bugs relacionados ao kernel corrigidos no ano passado.
“Em caso de sucesso, a carga final usa a leitura do kernel para coletar bancos de dados de chaves, senhas de Wi-Fi, banco de dados de SMS, catálogo de endereços, fotos, cookies do navegador, histórico de chamadas, histórico de localização e bancos de dados de contas, criptografa-os com AES e carrega-os via HTTPS POST /upload para um conjunto rotativo de domínios de comando e controle”, explicou Pandya. "O trabalhador sinaliza o progresso da exploração para cloudfareintcdn[.]com/wd-status.html."
Descobriu-se que os atores da ameaça por trás da campanha reimplantaram toda a cadeia do iOS por volta de 12 de agosto de 2026, visando principalmente dispositivos iOS executando as versões 18.4 a 18.6.x com uma nova carga útil que adiciona uma semente de carteira de criptomoeda iOS Keychain e um ladrão mnemônico.
O malware consulta o armazenamento de senhas em busca de material de carteira do Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet e OKX, indo além da coleta de dados do dispositivo para direcionar o roubo financeiro.
Socket disse que os mesmos cinco namespaces de fornecedores publicaram pacotes temáticos adicionais que não carregam carga útil ativa no momento da análise, embora tenham sido configurados de forma que o código malicioso possa ser ativado por meio de campos “JS personalizados” renderizados em todas as páginas dos sites.
Não está claro quem está por trás da campanha, embora se acredite que seja o trabalho de um grupo operado pelos vietnamitas com base em carimbos de data e hora de metadados de commit. Vale ressaltar que os hosts de exploração do iOS são executados em infraestrutura fornecida pela Funnull, uma entidade sancionada pelos EUA em maio passado por facilitar golpes de isca romântica que levaram a mais de US$ 200 milhões em perdas de criptomoedas.
“Um visitante de um site que instalou um desses temas, em um iPhone que não foi atualizado após o iOS 18.6.x (iPhone XS até iPhone 16), pode ter seu chaveiro, senhas de Wi-Fi, SMS, fotos, contatos, cookies, histórico de localização, bancos de dados de contas e sementes de carteira de criptomoeda coletadas e exfiltradas carregando uma página no Safari móvel”, disse Socket.
“Todo visitante móvel também está sujeito à cadeia de redirecionamento de jogos de azar e injeção de anúncios. Os operadores do site também são vítimas: eles enviaram o tema trojanizado sem saber e serviram a carga útil para seus próprios usuários”.
Para combater a ameaça, os operadores de sites que usam OphimCMS ou KKPhim são aconselhados a verificar se instalaram algum dos pacotes mencionados acima, removê-los se encontrados, rota
“O código injetado executa duas operações contra os visitantes de um site: uma cadeia de fraude de anúncios móveis e redirecionamento de jogos de azar e, em iPhones, uma cadeia de exploração do WebKit para o kernel que instala spyware”, disse o pesquisador de segurança do Socket, Kush Pandya.
A atividade é avaliada como parte de uma campanha que foi documentada pela primeira vez pela empresa de segurança de aplicativos em março de 2026, que aproveitou seis pacotes Packagist maliciosos que se apresentavam como temas OphimCMS para redirecionar visitantes, exfiltrar URLs, injetar anúncios e servir, a partir da infraestrutura hospedada pelo Funnull, uma carga útil de segundo estágio para levar as vítimas a sites de jogos de azar e conteúdo adulto.
O conjunto completo de pacotes, que abrange cinco namespaces de fornecedores, está abaixo:
vsmov: tema-dy, tema-rrdyw, tema-motchhill, tema-vsmov
vsphim: tema-heovl, tema-thempho
haiau009: kkphim-lenda, kkphim-motchhill
chilltvcms: legenda do tema
ofhimcms: tema-dy, tema-motchhill, tema-pcc, tema-rrdyw
Em um alto nível, o tema trojanizado do Composer injeta JavaScript que executa um redirecionamento de jogos de azar para dispositivos móveis e fraude publicitária e, em iPhones, uma cadeia de exploração do WebKit para o kernel hospedada pelo Funnull, terminando em spyware e roubo de carteira de criptomoeda.
A cadeia de ataque do iOS foi projetada para inserir um elemento iframe oculto que determina a versão do iOS e carrega uma versão específica do sistema operacional da exploração. Especificamente, ele arma duas vulnerabilidades do WebKit – CVE-2025-31277 (corrigido na versão 18.6) e CVE-2025-43529 (corrigido nas versões 18.7.3 e 26.2) – de uma maneira análoga ao kit de exploração DarkSword.
A carga então sai da sandbox WebContent para o processo de GPU, seguido por um segundo estágio que atinge o kernel por meio do cliente de usuário AppleM2ScalerCSCDriver IOKit e, por fim, obtém privilégios de leitura e gravação. Diz-se que a Apple corrigiu a falha de escape do kernel no iOS e no macOS 26.1.
Pandya disse ao The Hacker News que a Apple não compartilhou um identificador CVE para a vulnerabilidade de escape do kernel, mas que o fabricante do iPhone confirmou que o problema já havia sido corrigido no iOS 26.1 e no macOS 26.1 antes de receber seu relatório. Suspeita-se que seja CVE-2025-43398, CVE-2025-43510 ou CVE-2025-43520, todos bugs relacionados ao kernel corrigidos no ano passado.
“Em caso de sucesso, a carga final usa a leitura do kernel para coletar bancos de dados de chaves, senhas de Wi-Fi, banco de dados de SMS, catálogo de endereços, fotos, cookies do navegador, histórico de chamadas, histórico de localização e bancos de dados de contas, criptografa-os com AES e carrega-os via HTTPS POST /upload para um conjunto rotativo de domínios de comando e controle”, explicou Pandya. "O trabalhador sinaliza o progresso da exploração para cloudfareintcdn[.]com/wd-status.html."
Descobriu-se que os atores da ameaça por trás da campanha reimplantaram toda a cadeia do iOS por volta de 12 de agosto de 2026, visando principalmente dispositivos iOS executando as versões 18.4 a 18.6.x com uma nova carga útil que adiciona uma semente de carteira de criptomoeda iOS Keychain e um ladrão mnemônico.
O malware consulta o armazenamento de senhas em busca de material de carteira do Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet e OKX, indo além da coleta de dados do dispositivo para direcionar o roubo financeiro.
Socket disse que os mesmos cinco namespaces de fornecedores publicaram pacotes temáticos adicionais que não carregam carga útil ativa no momento da análise, embora tenham sido configurados de forma que o código malicioso possa ser ativado por meio de campos “JS personalizados” renderizados em todas as páginas dos sites.
Não está claro quem está por trás da campanha, embora se acredite que seja o trabalho de um grupo operado pelos vietnamitas com base em carimbos de data e hora de metadados de commit. Vale ressaltar que os hosts de exploração do iOS são executados em infraestrutura fornecida pela Funnull, uma entidade sancionada pelos EUA em maio passado por facilitar golpes de isca romântica que levaram a mais de US$ 200 milhões em perdas de criptomoedas.
“Um visitante de um site que instalou um desses temas, em um iPhone que não foi atualizado após o iOS 18.6.x (iPhone XS até iPhone 16), pode ter seu chaveiro, senhas de Wi-Fi, SMS, fotos, contatos, cookies, histórico de localização, bancos de dados de contas e sementes de carteira de criptomoeda coletadas e exfiltradas carregando uma página no Safari móvel”, disse Socket.
“Todo visitante móvel também está sujeito à cadeia de redirecionamento de jogos de azar e injeção de anúncios. Os operadores do site também são vítimas: eles enviaram o tema trojanizado sem saber e serviram a carga útil para seus próprios usuários”.
Para combater a ameaça, os operadores de sites que usam OphimCMS ou KKPhim são aconselhados a verificar se instalaram algum dos pacotes mencionados acima, removê-los se encontrados, rota
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #13 #pacotes #packagistas #maliciosos #têm #como #alvo #iphones #sem #patch #para #roubar #sementes #de #carteira #criptografada
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário