Uma campanha sofisticada de malware tem explorado temas de websites infectados para roubar informações sensíveis de usuários de iPhone, incluindo sementes de recuperação de carteiras de criptomoedas. A pesquisa da Socket.dev revelou que pacotes maliciosos distribuídos via Composer estão servindo como vetores silenciosos para spyware direcionado a dispositivos móveis.
Vetor de ataque via composer
Os atacantes trojanizaram temas utilizados em sites de streaming de filmes e quadrinhos vietnamitas. Quando operadores de site instalam esses temas através do gerenciador de pacotes Composer, o código malicioso é entregue a todos os visitantes. O script verifica o dispositivo do usuário e, para iPhones, inicia uma cadeia de exploração específica.
Diferente de ataques genéricos, este campaign filtra desktops e scanners automatizados, focando exclusivamente em navegadores móveis reais. Isso reduz a detecção e maximiza o sucesso da infecção.
Exploração de falhas webkit no ios
O payload explora duas falhas conhecidas no WebKit, componente central do navegador Safari no iOS. As vulnerabilidades CVE-2025-31277 e CVE-2025-43529 são utilizadas para escapar do sandbox do navegador e acessar o sistema de arquivos do dispositivo.
Dispositivos atualizados para versões recentes do iOS (como 18.7.3 ou superior) estão protegidos, mas muitos usuários permanecem em versões antigas devido à falta de notificações ou resistência a atualizações. O ataque visa especificamente gerações do iPhone XS até o iPhone 16 que não possuem as correções aplicadas.
Proteção de carteiras digitais
Após ganhar acesso, o spyware coleta bancos de dados do keychain, senhas de Wi-Fi, mensagens e, crucialmente, frases de recuperação de carteiras de criptomoedas. Essas sementes permitem que criminosos assumam o controle total dos fundos digitais da vítima.
O malware envia os dados coletados para servidores de comando e controle (C2) rotacionados, dificultando o rastreamento. Uma versão recente adicionou capacidades específicas de roubo de carteiras, tornando o ataque financeiramente motivado.
Medidas de mitigação recomendadas
Desenvolvedores e administradores de sistemas devem tomar as seguintes medidas:
- Revisão de Dependências: Verifique e bloqueie pacotes Composer suspeitos identificados pela Socket.dev.
- Atualização do iOS: Priorize a atualização de dispositivos móveis para as versões mais seguras disponíveis.
- Monitoramento de Rede: Bloqueie domínios de C2 listados nos relatórios de inteligência de ameaças.
Perguntas frequentes
Meu site foi comprometido? Se você usa temas de fontes não verificadas, verifique imediatamente os arquivos de tema instalados.
Como recuperar carteiras comprometidas? Mova os fundos para uma nova carteira com sementes geradas em um ambiente limpo e revogue acessos antigos.