#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники внедрили вредоносный JavaScript в 13 тем Composer/Packagist, нацеленных на вьетнамские сайты OphimCMS и KKPhim. Код выборочно перенаправляет мобильных посетителей на рекламные объявления казино или эксплуатирует уязвимые iPhone через недостатки в WebKit и ядре, устанавливая шпионское ПО, которое крадет конфиденциальные данные и учетные данные криптокошельков.
-----

Злоумышленники опубликовали 13 троянизированных тем Composer/Packagist в пространствах имён поставщиков `ophimcms`, `chilltvcms`, `haiau009`, `vsmov` и `vsphim`. Темы нацелены на вьетнамские сайты потокового вещания фильмов и комиксов, созданные на базе OphimCMS или KKPhim. Их фронтенд-JavaScript доставляется каждому посетителю сайта, при этом проверки user-agent и referrer приоритизируют мобильные устройства и исключают настольные браузеры, ботов и прямые обращения.

Внедрённый код поддерживает две ветви атаки. Первая отображает мобильные рекламные объявления о азартных играх и перенаправляет посетителей через инфраструктуру, используемую для мошеннических рекламных схем. Вторая нацелена на уязвимые iPhone с использованием многоэтапной цепочки эксплойтов от WebKit до ядра, размещённой на инфраструктуре, связанной с FUNNULL. Рендерер эксплуатирует CVE-2025-31277 на iOS 18.4–18.5 или CVE-2025-43529 на iOS 18.6 и более поздних версиях, используя примитивы повреждения памяти в JavaScriptCore для получения произвольного доступа на чтение и запись в рамках WebContent. Цепочка включает специфичные для устройства и сборки смещения для моделей от iPhone XS до iPhone 16, работающих под управлением iOS 18.4–18.6.x.

Затем эксплойт выходит из песочницы через интерфейс IOKit драйвера AppleM2ScalerCSCDriver, доступ к которому осуществляется через `mediaplaybackd`. Вызывается селектор 1 со структурой размером 432 байта, содержащей два идентификатора IOSurface, и инициируется гонка за буфер хранения IOSurface (backing store) для получения возможности чтения и записи в ядре. Apple подтвердила, что данный выход из ядра был устранён в iOS и macOS 26.1; позже драйвер получил дополнительное усиление защиты в рамках исправления CVE-2026-43655 в iOS 26.5. Таким образом, данная цепочка уязвимостей в первую очередь затрагивает устройства, на которые не установлены соответствующие обновления.

Платформа шпионского ПО собирает данные Связки ключей, пароли Wi-Fi, сообщения, контакты, файлы cookie, историю просмотров и звонков, геолокацию, данные о здоровье, учетные записи, заметки, календари и фотографии. При повторном развертывании 12 августа 2026 года были добавлены рутинные процедуры для кражи криптовалюты, нацеленные на материалы Связки ключей, а также на восстановительные сиды или мнемоники, связанные с Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet и OKX. Операторы меняли имена файлов и загрузчики, сохраняя при этом те же ограничения по версиям iOS. Дополнительные техники включают удаленную загрузку JavaScript, обфусцированный или зашифрованный код, хуки административной активации, поведение, противодействующее анализу, и веб-основанную эксфильтрацию.