🔍 Contexte

Publié le 31 août 2026 par l’équipe de recherche de Socket (socket.dev), cet article documente la découverte de 13 packages Composer malveillants sur Packagist, répartis sous cinq namespaces vendeurs (vsmov, vsphim, haiau009, chilltvcms, ophimcms), ciblant les sites de streaming vietnamiens basés sur OphimCMS et KKPhim (CMS PHP/Laravel open source).

🎯 Mécanisme de livraison

Les acteurs de la menace ont forké des thèmes légitimes sous leurs propres namespaces, en trojanisant les assets front-end JavaScript embarqués. Tout site installant l’un de ces thèmes sert du JavaScript malveillant à chaque visiteur. Deux branches d’attaque coexistent :

  • Branche 1 – Fraude publicitaire et redirections gambling : injection d’une bannière mobile ciblant les user agents iPhone/iPod/Android/iOS, redirigeant vers des pages de jeux en ligne via 23.225.52.67:4466 et 23.225.48.20:4466.
  • Branche 2 – Chaîne d’exploit WebKit-to-kernel iOS : un loader base64 personnalisé (évitant atob natif) tire un second stage depuis l’infrastructure FUNNULL (union.macoms.la/jquery.min-3.6.8.js), qui enchaîne plusieurs redirections vers un iframe caché chargeant un exploit WebKit version-spécifique.

💥 Chaîne d’exploitation iOS

La chaîne weaponise deux CVE WebKit publiques et listées au catalogue KEV de la CISA :

  • CVE-2025-31277 (iOS 18.4 à 18.5)
  • CVE-2025-43529 (iOS 18.6+, exploitée dans des attaques ciblées selon Apple)

La chaîne couvre les appareils iPhone XS à iPhone 16 sous iOS 18.4 à 18.6.x, avec des tables d’offsets par chipset. Elle progresse en trois étapes :

  1. Renderer stage : corruption JavaScriptCore (object-address disclosure, fake objects, typed array corrompu) — overlap avec le kit d’exploit iOS DarkSword.
  2. GPU process pivot : primitive mémoire cross-process via IOSurface et mach messaging, forge de pointeurs PAC.
  3. Kernel escape : via le driver IOKit AppleM2ScalerCSCDriver (selector 1, struct 432 octets, deux IOSurface IDs), corrigé dans iOS 26.1 (sibling du CVE-2026-43655).

🦠 Payload spyware

Le payload final collecte et exfiltre via HTTPS POST /upload (chiffrement AES) :

  • Bases de données keychain, mots de passe Wi-Fi, SMS, carnet d’adresses, Photos, cookies, historique d’appels, localisation, bases de comptes
  • Depuis le redéploiement du 2026-08-12 : vol de seeds et mnemonics de wallets crypto (Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet, OKX)

Clé AES hardcodée : 9_X1<yW,DC>M=<;5 — Channel identifier : 22c75b2ee026dbbf7001cfdc2bb47855

🏗️ Infrastructure et attribution

  • Infrastructure FUNNULL (Triad Nexus, sanctionné par l’OFAC le 2025-05-29) : yunray.ai, cdn1.ai, nqsaaskw.com — même famille de domaines que l’incident Polyfill.io 2024 (macoms.la).
  • Opérateurs des thèmes Packagist : groupe vietnamien (UTC+07:00, noms vietnamiens, localisation Hanoi), locataires FUNNULL.
  • Kit d’exploit iOS : capacité commodity ou broker, overlap avec DarkSword (opérateurs russes et turcs selon GTIG), variante distincte.
  • Opération gambling npm : tenant chinois indépendant (UTC+08:00) partageant la même infrastructure FUNNULL.
  • 20 domaines d’exfiltration enregistrés en masse le 2026-06-02, tous actifs à la date de publication.

📋 Type d’article

Publication de recherche technique par l’équipe Threat Research de Socket, visant à documenter une campagne de supply chain active, divulguer les IOCs et les CVE exploitées, et alerter les opérateurs de sites OphimCMS/KKPhim.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • FUNNULL (cybercriminal) —
  • DarkSword (unknown) —

TTP

  • T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
  • T1608.001 — Stage Capabilities: Upload Malware (Resource Development)
  • T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)
  • T1102 — Web Service (Command and Control)
  • T1189 — Drive-by Compromise (Initial Access)
  • T1203 — Exploitation for Client Execution (Execution)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1480 — Execution Guardrails (Defense Evasion)
  • T1497 — Virtualization/Sandbox Evasion (Defense Evasion)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 1 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • DarkSword iOS exploit kit (other)
  • iOS keychain crypto-wallet stealer (stealer)
  • FUNNULL spyware payload (rat)
  • MPAd loader (loader)
  • CryptoJS (JQMP namespace) (tool)

🟢 Indice de vérification factuelle : 100/100 (haute)

  • ✅ socket.dev — source reconnue (liste interne) (20pts)
  • ✅ 25493 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 75 IOCs dont des hashes (15pts)
  • ✅ 6/11 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 14 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : FUNNULL, DarkSword (5pts)
  • ✅ 3/3 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 23.225.48.20 (ip) → VT (7/91 détections)
  • d9530e8cd79ac7b3… (sha256) → VT (7/76 détections)
  • 92c7d246d2c163c0… (sha256) → VT (13/76 détections)
  • union.macoms.la (domain) → VT (15/91 détections)
  • cdn.data-2920.com (domain) → VT (5/91 détections)

🔗 Source originale : https://socket.dev/blog/packagist-themes-ios-spyware