Thought Leadership
Sicherheitsforscher von Socket haben 13 bösartige Composer-Theme-Pakete auf der Plattform Packagist identifiziert, die Spyware auf ungepatchten iOS-Geräten installieren.
Socket-Sicherheitsforscher Kush Pandya erklärte dazu: Der eingeschleuste Code führe gegenüber Besuchern einer betroffenen Website zwei getrennte Vorgänge aus. Bei gewöhnlichen mobilen Nutzern löst der Code demnach eine Weiterleitungskette für mobilen Werbebetrug sowie Glücksspielseiten aus, bei iPhone-Nutzern zusätzlich eine mehrstufige, von WebKit bis zum Betriebssystemkern reichende Angriffskette, die letztlich Spyware installiert. Die Kampagne baut dabei auf einer bereits im März 2026 erstmals von Socket dokumentierten Aktivität auf, bei der sechs bösartige Packagist-Pakete als OphimCMS-Themes getarnt waren und Besucher zu Glücksspiel- und Erwachseneninhalten umleiteten. Insgesamt verteilen sich die 13 aktuell identifizierten Pakete auf fünf unterschiedliche Anbieter-Namensräume.
Die eigentliche iOS-Angriffskette fügt zunächst ein verstecktes iFrame-Element ein, das die verwendete iOS-Version ermittelt und darauf abgestimmt eine passende Version des Exploits nachlädt. Ausgenutzt werden dabei zwei bereits bekannte WebKit-Schwachstellen, CVE-2025-31277 sowie CVE-2025-43529, in einer dem zuvor dokumentierten DarkSword-Exploit-Kit ähnelnden Vorgehensweise. Die Schadsoftware verlässt anschließend die eigentlich isolierte WebContent-Sandbox in Richtung des Grafikprozessors und erreicht in einer zweiten Stufe über den IOKit-Nutzerclient AppleM2ScalerCSCDriver schließlich den Betriebssystemkern, wo sie sich Lese- und Schreibrechte verschafft. Apple hatte die zugrunde liegende Kernel-Schwachstelle bereits mit iOS und macOS 26.1 geschlossen.
iPhones: Gezielter Diebstahl von Krypto-Wallet-Startdaten seit August
Bei erfolgreicher Ausnutzung sammelt die Schadsoftware über den erlangten Kernel-Zugriff unter anderem Schlüsselbund-Datenbanken, WLAN-Passwörter, die SMS-Datenbank, das Adressbuch, Fotos, Browser-Cookies, den Anrufverlauf, den Standortverlauf sowie weitere Kontodatenbanken, verschlüsselt diese und lädt sie über eine wechselnde Gruppe von Kontrollserver-Domains hoch. Seit rund dem 12. August erweiterten die Angreifer die vollständige iOS-Angriffskette zusätzlich um eine gezielte Komponente zum Diebstahl von Startwörtern und Wiederherstellungsphrasen aus dem iOS-Schlüsselbund für Krypto-Wallets der Anbieter Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet sowie OKX, betroffen sind dabei vor allem Geräte mit iOS 18.4 bis 18.6.x, entsprechend den Modellen iPhone XS bis iPhone 16.
Nach Angaben von Socket veröffentlichten dieselben fünf Anbieter-Namensräume zusätzliche Theme-Pakete ohne aktive Schadfunktion zum Zeitpunkt der Analyse, die jedoch bereits so konfiguriert waren, dass sich der bösartige Code über sogenannte Custom-JS-Felder jederzeit auf sämtlichen Seiten der jeweiligen Website aktivieren ließe. Wer tatsächlich hinter der Kampagne steckt, ist unklar, anhand von Zeitstempeln in den zugehörigen Commit-Metadaten vermutet Socket jedoch eine vietnamesisch betriebene Gruppe. Die für den iOS-Exploit genutzte Infrastruktur läuft dabei über Server des bereits im vergangenen Mai von den USA sanktionierten Unternehmens Funnull, das zuvor mit Romance-Betrugsmaschen mit einem Schaden von mehr als 200 Millionen US-Dollar in Verbindung gebracht wurde.
Betreiber selbst ebenfalls Opfer
Betreibern von Websites auf Basis von OphimCMS oder KKPhim wird empfohlen zu prüfen, ob eines der genannten Pakete installiert ist, dieses gegebenenfalls zu entfernen, Zugangsdaten auszutauschen sowie ausgelieferte jQuery- und Theme-Skripte gezielt auf Kompromittierungsindikatoren zu überprüfen. Socket betont dabei ausdrücklich, dass auch die Betreiber der betroffenen Websites selbst als Opfer zu betrachten seien, da sie das manipulierte Theme unwissentlich auslieferten und die Schadsoftware dadurch unbeabsichtigt an ihre eigenen Nutzer weitergaben.
(red)
