LONDON (IT BOLTWISE) – Sicherheitsforscher melden 13 bösartige Composer Theme-Pakete auf Packagist, die JavaScript in Streaming-Seiten einschleusen. Auf iPhones mit ungepatchtem iOS soll eine WebKit-zu-Kernel-Exploit-Kette eingesetzt werden, die am Ende Spyware installiert und Wallet-Seeds abgreift. Das finale Payloadsystem sammelt u. a. Keychain-Daten, Wi‑Fi-Passwörter, SMS, Fotos und Browser-Cookies und lädt sie über HTTPS zu rotierenden Command-and-Control-Domains hoch. Betroffen sind nach den Angaben vor allem iOS-Geräte zwischen 18.4 und 18.6.x, während Apple bereits in iOS/macOS 26.1 eine Kernel-Lücke geschlossen haben soll.
Eine ungewöhnlich große Lücke klafft zwischen „normalem“ Paket-Ökosystem und dem tatsächlichen Angriffsweg: Auf Packagist wurden laut Sicherheitsforschung 13 bösartige Composer Theme-Pakete entdeckt, die wie harmlose Bibliotheken für Webseiten-Deployments wirken. Der zentrale Mechanismus ist nicht das klassische Ausnutzen einer Server-Schwachstelle, sondern das Trozialisieren von Komponenten, die Seitenbetreiber typischerweise aus dem Community-Umfeld nachladen. Sobald die Bibliotheken in Vietnamese Movie- und Comic-Streaming-Angeboten installiert sind, wird in den Browser der Besucher zielgerichtetes JavaScript eingeschleust, das im Hintergrund Redirect-Ketten und Werbeinjektionen anstößt.
Aus Sicht der Techniker ist der Ablauf zweistufig: Zuerst läuft eine mobile Ad-Fraud- und Gambling-Redirect-Chain, also eine Kombination aus Werbetransparenz-Umgehung und Umleitung hin zu Glücksspiel- beziehungsweise Adult-Content-Zielen. Parallel dazu folgt auf iPhones eine spezifisch zugeschnittene Exploit-Chain, die WebKit-Funktionen in Richtung Kernel entkapselt. Die Forschenden beschreiben dabei, dass ein verstecktes iframe-Element die iOS-Version ermittelt und daraufhin eine passende Betriebssystem-Variante der Schwachstelle nachlädt. Technisch ist das deshalb relevant, weil die Angreifer nicht „eine“ Exploit-Strategie versuchen, sondern eine Versionierungslogik in den Client integrieren, um die Trefferquote zu erhöhen.
Besonders greifbar wird das Ganze über die genannten CVEs: Laut den Angaben werden zwei WebKit-Schwachstellen als Grundlage genutzt, CVE-2025-31277 sowie CVE-2025-43529. Die Schwachstellen gelten als in bestimmten iOS-Versionen bereits gepatcht: CVE-2025-31277 sei ab Version 18.6 geschlossen, während CVE-2025-43529 in 18.7.3 und 26.2 behoben worden sein soll. Die Logik des Exploits wird dabei als „analog“ zu bekannten Exploit-Kits beschrieben (DarkSword wird als Referenz genannt), was den Rückschluss nahelegt, dass die Angreifer etablierte Muster aus anderen Kampagnen wiederverwenden und sie in eine Web-zu-Kernel-Pipeline übersetzen. Danach pivotiert der Payload aus dem WebContent-Sandbox-Kontext in Richtung GPU-Prozess, bevor eine zweite Stufe den Kernel über einen AppleM2ScalerCSCDriver IOKit-User-Client erreicht.
Damit ändert sich auch die Qualitätsdimension der Malware: Wer „nur“ Code im Browser ausführt, kommt oft nicht zu persistenten, systemnahen Aktionen. Hier soll der Prozess nach dem Kernel-Einstieg Lese- und Schreibrechte erlangen und im Erfolgsfall eine breite Palette persönlicher Daten und Kontoinformationen extrahieren. Genannt werden Keychain-Datenbanken, Wi‑Fi-Passwörter, die SMS-Datenbasis, Adressbuch, Fotos, Browser-Cookies, die Historie von Anrufen sowie Standorthistorie und weitere Kontodaten. Anschließend werden die Datensätze mit AES verschlüsselt und per HTTPS per POST an einen Upload-Endpunkt übermittelt, der in eine rotierende Menge von Command-and-Control-Domains eingebettet ist. Zudem melden die „Worker“-Komponenten den Ausnutzungsfortschritt über eine Statusseite, genannt wird dafür cloudfareintcdn[.]com/wd-status.html.
Die Kampagne wird nicht als einmaliges „Dropper“-Ereignis beschrieben, sondern als wiederverwendetes Muster über mehrere Iterationen. Bereits im März 2026 sei sie erstmals dokumentiert worden, damals mit sechs bösartigen Packagist-Paketen, die als OphimCMS-Themes auftraten und Besucher umleiteten, URLs exfiltrierten, Ads injizierten und eine weitere Second-Stage-Instanz über Infrastruktur mit Funnull-Bezug ausspielten. Im Verlauf wird außerdem erwähnt, dass die iOS-Kette bis zum 12. August 2026 neu ausgerollt wurde, mit Fokus auf iOS-Geräte zwischen 18.4 und 18.6.x und einem aktualisierten Payload, der zusätzlich iOS Keychain-Seed-Wörter für Krypto-Wallets sowie einen „Mnemonic“-Stealer umfasst. Interessant ist dabei der Schritt von Device-Diebstahl zu Finanzdiebstahl: Die Malware greift Wallet-Material offenbar aus Passwortspeichern verschiedener Anbieter ab und nennt u. a. Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet und OKX.
Für Betreiber von Streaming-Plattformen liegt der praktische Handlungsdruck daher weniger in „harten“ Server-Firewalls, sondern im Paket- und Theme-Management. Die Forschenden berichten, dass dieselben fünf Vendor-Namespace-Bereiche weitere Theme-Pakete veröffentlicht haben, die zum Zeitpunkt der Analyse keine aktiven Payloads tragen, jedoch so konfiguriert sind, dass bösartiger Code über „Custom JS“-Felder aktiviert werden kann, sobald er in Seiten eingebettet wird. Hinzu kommt, dass die iOS-Exploit-Hosting-Infrastruktur Funnull zugerechnet wird; Funnull sei nach Angaben bereits im vergangenen Mai durch die US-Behörden sanktioniert worden, weil es angeblich dabei geholfen habe, Romance-Baiting-Schemata zu ermöglichen, die laut Quelle in Summe über 200 Millionen US-Dollar Krypto-Verluste auslösten. Für Unternehmen ergibt sich daraus ein klares Muster: Ein Webangebot ist nicht nur Angriffsfläche, sondern kann auch unbemerkt zum Versandkanal werden – die Opfer sind dann sowohl Besucher als auch die Betreiber, weil die kompromittierten Themes die Payload „mit ausliefern“.
Als Gegenmaßnahmen werden Site-Owner mit OphimCMS oder KKPhim explizit aufgefordert, zu prüfen, ob eines der genannten Pakete installiert wurde, betroffene Pakete sofort zu entfernen und Zugangsdaten zu rotieren. Zusätzlich sollten sie ihre ausgelieferten jQuery- und Theme-Skripte auf Indicators of Compromise (IoCs) auditieren. Auf iOS-Seite ist die Grundlage für die Wirksamkeit der Angriffe die Frage „ungepatcht oder gepatcht“: Die beschriebenen WebKit-Lücken sind in bestimmten iOS-Releases geschlossen, und Apple habe die Kernel-Escape-Lücke laut Quelle in iOS und macOS 26.1 adressiert. Für die KI-Sicherheitspraxis lässt sich daraus ein wichtiges Signal ableiten: Auch wenn KI-gestützte Erkennung in der Zukunft hilft, bleibt der Kernhebel klassisch – Supply-Chain-Hygiene, Paket-Review und schnelles Reagieren, sobald neue, verdächtige Abhängigkeiten im Deployment auftauchen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "13 bösartige Packagist-Themes zielen auf unpatchte iPhones ab" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "13 bösartige Packagist-Themes zielen auf unpatchte iPhones ab" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »13 bösartige Packagist-Themes zielen auf unpatchte iPhones ab« bei Google Deutschland suchen, bei Bing oder Google News!