Обычная тема оформления может угрожать не только владельцу сайта, но и каждому посетителю. Специалисты Socket обнаружили 13 вредоносных тем в каталоге Packagist, которые заражали вьетнамские сайты с фильмами и комиксами. При открытии страницы с iPhone встроенный код запускал цепочку эксплойтов и устанавливал шпионское ПО.
Злоумышленники копировали темы для систем управления контентом OphimCMS и KKPhim, сохраняли привычную структуру и добавляли вредоносный JavaScript. Владельцы устанавливали такие пакеты через Composer, после чего сайт незаметно передавал код всем посетителям. На мобильных устройствах скрипты также подменяли рекламу и перенаправляли пользователей на азартные площадки.
Для владельцев iPhone атака развивалась по отдельному сценарию. Скрытый фрейм определял версию iOS и загружал подходящий эксплойт для WebKit. Цепочка использовала CVE-2025-31277 и CVE-2025-43529, затем выходила из браузерной песочницы и получала доступ к ядру системы. Apple закрыла последний этап в iOS 26.1.
Успешное заражение позволяло копировать Связку ключей, пароли Wi-Fi, сообщения, фотографии, контакты, файлы cookie, историю звонков и местоположений. Украденные сведения шифровались с помощью AES и отправлялись на меняющиеся управляющие серверы. Для запуска атаки владельцу iPhone достаточно было открыть заражённую страницу в мобильном Safari.
В августе операторы кампании обновили вредоносную нагрузку и добавили поиск сид-фраз и мнемонических ключей от Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet и OKX. Целью стали iPhone от XS до 16 с iOS 18.4–18.6.x. Инфраструктуру предоставляла FUNNULL, попавшая под санкции США за поддержку криптовалютных мошеннических площадок.
Владельцам OphimCMS и KKPhim рекомендуют удалить пакеты от vsmov, vsphim, haiau009, chilltvcms и ophimcms, сменить учётные данные и проверить скрипты тем на посторонние загрузчики. Разработчикам следует фиксировать версии зависимостей и изучать код малоизвестных поставщиков. Пользователям iPhone нужно установить iOS 18.7.3, iOS 26.2 или более новую версию.
