Entró a ver una serie y salió sin criptomonedas ni contraseñas: una página web corriente comprometía el núcleo del iPhone

Un tema de apariencia común puede amenazar no solo al propietario del sitio, sino a cada visitante. Expertos de Socket descubrieron 13 temas maliciosos en el catálogo Packagist que infectaban sitios vietnamitas de películas y cómics. Al abrir la página desde un iPhone, el código incrustado activaba una cadena de exploits e instalaba software espía.

Los atacantes copiaban temas para los sistemas de gestión de contenido OphimCMS y KKPhim, conservaban la estructura habitual y añadían JavaScript malicioso. Los propietarios instalaban esos paquetes mediante Composer, tras lo cual el sitio transmitía el código a todos los visitantes sin que se notara. En dispositivos móviles los scripts también sustituían anuncios y redirigían a los usuarios a plataformas de juego.

Para los propietarios de iPhone el ataque seguía un escenario distinto. Un iframe oculto detectaba la versión de iOS y descargaba el exploit adecuado para WebKit. La cadena utilizó CVE-2025-31277 y CVE-2025-43529, luego escapaba de la sandbox del navegador y obtenía acceso al núcleo del sistema. Apple cerró la última etapa en iOS 26.1.

Una infección exitosa permitía copiar el llavero de claves, las contraseñas Wi‑Fi, mensajes, fotografías, contactos, cookies, el historial de llamadas y de ubicaciones. La información robada se cifraba con AES y se enviaba a servidores de control cambiantes. Para iniciar el ataque, al propietario de iPhone le bastaba abrir la página infectada en Safari móvil.

En agosto, los operadores de la campaña actualizaron la carga maliciosa y añadieron la búsqueda de seed phrases y claves mnemónicas de Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet y OKX. Los objetivos fueron iPhone desde XS hasta 16 con iOS 18.4–18.6.x. La infraestructura la proporcionaba FUNNULL, que fue sancionada por Estados Unidos por apoyar plataformas fraudulentas de criptomonedas.

A los propietarios de OphimCMS y KKPhim se les recomienda eliminar los paquetes de vsmov, vsphim, haiau009, chilltvcms y ophimcms, cambiar las credenciales y revisar los scripts de los temas en busca de cargadores externos. A los desarrolladores se les aconseja fijar las versiones de las dependencias y revisar el código de proveedores poco conocidos. Los usuarios de iPhone deben instalar iOS 18.7.3, iOS 26.2 o una versión posterior.