packagist themes ios spyware

Mon, 01 Jan 0001 00:00:00 +0000

执行摘要

可视化报告 Socket 发布的研究报告披露了一起针对 Packagist / Composer 软件供应链的恶意软件投递活动。

攻击者在多个 PHP Composer 主题包中植入恶意 JavaScript。这些主题主要用于基于 OphimCMS 和 KKPhim 的电影、漫画流媒体网站。网站管理员安装受污染的主题后，恶意 JavaScript 会被部署到生产网站，并自动提供给访问网站的终端用户。

攻击活动主要包含两条链路：

移动端广告欺诈与赌博跳转
- 针对 Android 和 iPhone 等移动设备；
- 注入广告内容；
- 将用户重定向至赌博网站；
- 使用随机子域名、Cookie 和多级跳转进行流量追踪和规避。
针对存在漏洞 iPhone 的 iOS 间谍软件攻击链
- 恶意主题加载远程 JavaScript；
- 根据 iOS 版本选择对应的 WebKit 漏洞利用代码；
- 获得 Safari/WebContent 进程中的内存操作能力；
- 通过 IOSurface 等机制继续构建跨进程攻击能力；
- 最终利用 IOKit 相关接口实现内核级攻击；
- 部署 iOS 间谍软件；
- 窃取 Keychain、短信、照片、浏览器数据及加密货币钱包助记词等敏感信息。

从攻击架构来看，这是一次典型的：

恶意 Composer Package
 ↓
网站管理员安装
 ↓
恶意 Theme 部署到生产网站
 ↓
恶意 JavaScript 自动分发
 ↓
网站访问者
 ├── 移动广告 / 赌博欺诈
 │
 └── iPhone
 ↓
 WebKit Exploit
 ↓
 Sandbox / Process Pivot
 ↓
 Kernel Escape
 ↓
 iOS Spyware
 ↓
 数据与钱包助记词窃取

这意味着攻击者实施的并非传统意义上的单层软件供应链攻击，而是：

Lxghost on OINK

packagist themes ios spyware

执行摘要