13 gói Packagist độc hại nhắm vào iPhone chưa vá
"Researchers identified 13 malicious Packagist Composer theme packages that inject JavaScript into Vietnamese streaming sites to drive mobile ad-fraud and, on iPhones, trigger a WebKit-to-kernel exploit chain. The chain abuses CVE-2025-31277 and CVE-2025-43529 to escape the browser sandbox, then steals device data and crypto wallet seeds from unpatched iOS 18.4 through 18.6.x devices; Apple had previously patched the kernel escape in iOS and macOS 26.1 and the WebKit flaws in later versions."
Rủi ro cao do kết hợp tấn công chuỗi cung ứng và khai thác iPhone chưa vá; có thể dẫn tới rò rỉ dữ liệu thiết bị và mất seed ví tiền mã hóa.
Ảnh hưởng trực tiếp đến website vận hành theme bị nhiễm, gây mất uy tín, phát tán mã độc cho người dùng và phát sinh chi phí ứng cứu, xoay vòng mật khẩu, kiểm tra hạ tầng.
Các nhà nghiên cứu an ninh đã phát hiện 13 gói Composer độc hại trên Packagist được ngụy trang dưới dạng theme cho các website xem phim và truyện tranh tiếng Việt. Khi được cài vào site, các gói này chèn JavaScript để thực hiện hai luồng tấn công: gian lận quảng cáo/redirect trên thiết bị di động và, với iPhone, kích hoạt chuỗi khai thác từ WebKit đến kernel để cài spyware.
Chuỗi tấn công này lợi dụng CVE-2025-31277 và CVE-2025-43529, nhắm vào các thiết bị iOS 18.4 đến 18.6.x chưa cập nhật. Theo mô tả, payload có thể thoát khỏi browser sandbox, truy cập dữ liệu hệ thống và thu thập keychain, mật khẩu Wi‑Fi, SMS, Photos, cookies, lịch sử cuộc gọi, vị trí và cơ sở dữ liệu tài khoản. Bản cập nhật của Apple đã vá các lỗi liên quan ở các phiên bản sau đó.
Ở giai đoạn mới hơn, mã độc còn tìm kiếm seed/mnemonic của ví tiền mã hóa như Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet và OKX. Đơn vị vận hành website cần kiểm tra các package đã cài, gỡ bỏ gói nghi vấn, xoay vòng thông tin xác thực và rà soát jQuery/theme scripts để tìm dấu hiệu xâm nhập.