LONDON (IT BOLTWISE) – Auf Packagist wurden 13 bösartige Composer-Theme-Pakete entdeckt, die JavaScript in vietnamesische Streaming-Seiten einschleusen. Die Angriffe kombinieren Werbetricks mit einem Umleitungs-Chain hin zu Glücksspiel- und Erwachsenenangeboten. Für iPhones nutzen die Täter laut Analyse eine WebKit-zu-Kernel-Exploit-Kette, die dann Spyware mit Zugriff auf sensible Daten installiert. Besonders auffällig: Der iOS-Payload richtet sich gezielt auf iOS 18.4 bis 18.6.x und enthält teils einen Diebstahl für Krypto-Wallets.
Was bei den diesjährigen iOS-Sicherheitsmeldungen besonders nachhallt, ist die Kombination aus „harmlos“ wirkender Paketverkleidung und einer technisch anspruchsvollen Exploit-Kette. Laut Analysen zu einer laufenden Kampagne wurden auf Packagist insgesamt 13 bösartige Composer-Theme-Pakete gefunden. Diese Pakete sind als Themes getarnt und sollen JavaScript in vietnamesische Movie- und Comic-Streaming-Webseiten einschleusen. Für Betreiber ist das deshalb heikel, weil die Einfallstore nicht zwingend klassisch über das Browser-Interface erfolgen, sondern über die Softwarelieferkette, die Content-Management-Setups ohnehin häufig nutzen.
Die Schadlogik wird dabei nicht mit einem einzelnen Schritt erklärt, sondern mit zwei klar unterscheidbaren Funktionsblöcken. Zum einen setzt die eingeschleuste JavaScript-Komponente auf eine Kette aus Mobile-Ad-Fraud und Gambling-Redirects: Besucher werden über Umleitungen und betrügerische Werbepfade zu Glücksspiel- und Adult-Content-Diensten geführt. Zum anderen folgt eine zweite Stufe, die speziell iPhones betrifft: Die Angreifer nutzen eine WebKit-zu-Kernel-Strategie, die darauf ausgelegt ist, aus einer Browser-/Webkomponente heraus in privilegierte Kernel-Kontexte zu gelangen. Als zentrale Schwachstellen werden die CVEs CVE-2025-31277 und CVE-2025-43529 genannt; die Beschreibung ordnet das Vorgehen zudem als „analog“ zu einem bekannten Exploit-Kit namens DarkSword ein.
Der technische Kern liegt folgerichtig in der Privilege-Eskalation. Nachdem der Exploit-Kontrollpfad im Betriebssystem ansetzt, soll der Payload auf Kernel-Ebene weiterarbeiten und damit umfangreiche Datendiebstähle ermöglichen. Genannt werden dabei u. a. der Zugriff auf Keychain-Datenbanken, gespeicherte WLAN-Passwörter, SMS-Nachrichten, Kontakte, Fotos, Browser-Cookies sowie Seed-Phrasen von Krypto-Wallets. Dass Keychain und Cookies gemeinsam genannt werden, deutet nicht nur auf „Datenabgreifen“ hin, sondern auch auf das Potenzial, Session-Kontexte nachzuladen oder Accounts langfristig missbräuchlich weiterzuverwenden. Für Sicherheitsverantwortliche ist das ein Muster, das weniger nach einmaligem Schadensereignis aussieht, sondern nach wiederholbaren Intrusions-Workflows.
Rückblickend ist die Kampagne laut Dokumentation bereits seit März 2026 beschrieben. Auffällig ist außerdem, dass die iOS-Komponente rund um den 12. August 2026 neu ausgerollt wurde. In dieser Phase richtet sich der Payload gezielt auf iOS-Versionen 18.4 bis 18.6.x. Solche selektiven Fenster sind typisch für Exploit-Kampagnen, weil sie die Wahrscheinlichkeit erhöhen, dass eine bestimmte verwertbare Schwachstelle im Zielsystem genau in der erwarteten Form vorliegt. Zusätzlich wird erwähnt, dass der iOS-Payload einen Kryptowährungs-Wallet-Stealer enthält, was die Motivation der Angreifer in Richtung unmittelbarer monetarisierbarer Folgeschäden stärkt.
Die Web- und Serverseite bleibt dabei nicht als Nebenfaktor, sondern ist Teil des Angriffsdesigns. Die Pakete sollen als OphimCMS-Themes auftreten, wodurch die JavaScript-Injektion für Betreiber weniger „auffällig“ ist als ein freies Script, das später irgendwo eingebettet wird. Betreiber, die OphimCMS oder KKPhim einsetzen, werden deshalb explizit dazu angehalten, die identifizierten bösartigen Pakete zu prüfen und zu entfernen. Ergänzend wird empfohlen, Credentials zu rotieren und Skripte zu auditieren. In der Praxis bedeutet das: Ein reines Löschen des Theme-Verzeichnisses reicht häufig nicht, weil die Kompromittierung auch über installierte Abhängigkeiten, Build-Artefakte oder persistente Skriptbereiche in CMS-Erweiterungen weiterwirken kann.
Ein weiterer Punkt für die Einordnung ist die Infrastruktur. Die iOS-Exploit-Infrastruktur wird mit Funnull in Verbindung gebracht, einem Akteur, der den Angaben zufolge bereits von den USA sanktioniert wurde, weil er für das Ermöglichen von Scams genutzt worden sein soll. Selbst wenn die technische Lieferkette über Composer und Web-Themes führt, zeigt der Abgleich der Infrastruktur, dass hier ein professionelles Operations-Modell mit mehreren Bausteinen zusammenläuft: Social/Traffic-Mechanik auf der Webebene, Monetarisierung über Redirects auf der Clientseite und eine plattformnah eingebaute Exploit-Fähigkeit im iOS-Payload.
Für die Markt- und Engineering-Perspektive folgt daraus eine klare Lehre: „Package Trust“ ist nicht nur ein Backend-Thema, sondern auch für Content- und Medienplattformen mit PHP-/Composer-Ökosystem real. Zwar adressieren Lockfiles, Signaturen und Reproducible Builds das Risiko, aber sie allein reichen nicht, wenn in der Paketumgebung selbst bösartige oder später kompromittierte Releases durchrutschen. Besonders für Betreiber von Streaming- und CMS-lastigen Setups lohnt sich deshalb ein regelmäßiger Dependency-Check inklusive lokaler Integritätsprüfung der installierten Composer-Pakete. Wer außerdem Exposure über Browser-Skripte minimiert, reduziert nicht nur Scam-Weiterleitungen, sondern auch die Angriffsoberfläche für weitere Stufen, die dann über WebKit-Schwachstellen eskalieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Composer-Themes liefern Spyware an iOS: WebKit-Exploit Ketten im Umlauf" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Composer-Themes liefern Spyware an iOS: WebKit-Exploit Ketten im Umlauf" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Composer-Themes liefern Spyware an iOS: WebKit-Exploit Ketten im Umlauf« bei Google Deutschland suchen, bei Bing oder Google News!