Temi PHP infetti su siti streaming: la catena iOS che svuota i…

Tredici pacchetti Packagist compromessi trasformano siti streaming vietnamiti in vettori per exploit WebKit-to-kernel su iPhone, con furto di seed phrase da sette

Un iPhone che visita un sito di streaming vietnamita può esporre seed phrase e chiavi private di sette wallet cryptocurrency. Non per un'app malevola scaricata dall'App Store, ma per un iframe nascosto caricato da un tema PHP legittimo infettato a monte. La ricerca di Socket, pubblicata il 13 settembre 2026 via The Hacker News, documenta questa catena. L'allarme parallelo di SlowMist, emesso sei giorni dopo, solleva interrogativi ancora aperti sulla portata dell'attacco.

Nota sui limiti delle fonti: Questa analisi si basa su un'unica fonte primaria strutturata: la ricerca di Socket via The Hacker News. I record NVD e l'advisory Apple integrano i dati sulle CVE ma non confermano indipendentemente la catena exploit. L'allarme SlowMist del 19 settembre 2026 potrebbe riferirsi alla stessa campagna Packagist o a attività separata. Il range iOS 13-26.5 indicato da SlowMist risulta non verificato indipendentemente.

Punti chiave

Tredici pacchetti Packagist in cinque namespace hanno iniettato JavaScript su siti streaming vietnamiti; gli operatori dei siti li hanno distribuiti inconsapevolmente
Su iPhone, il codice carica un iframe nascosto che determina la versione iOS e serve exploit specifico
La catena tecnica documentata da Socket include CVE-2025-31277 e CVE-2025-43529 in WebKit/JSC, con escalation a kernel tramite tre CVE sospettate
Il payload interroga il password store di iOS per materiali di Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet e OKX
CVE-2025-43510 e CVE-2025-43520 sono nel catalogo CISA KEV con scadenza mitigazione 3 aprile 2026

"CVE-2025-43510: CVSS 7.8 HIGH, AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H — il più grave delle tre CVE kernel sospettate, con conferma CISA di exploitation attiva"

Il vettore: siti streaming trasformati in vettori inconsapevoli

I ricercatori Socket, con Kush Pandya come ricercatore citato, hanno identificato tredici pacchetti Packagist distribuiti attraverso cinque namespace vendor. I pacchetti si presentavano come temi per OphimCMS e piattaforme streaming affiliate. Gli operatori dei siti li hanno installati legittimamente, senza sapere della componente JavaScript iniettata.

Il codice iniettato esegue due operazioni. La prima è una catena di redirect pubblicitari e gambling, attiva su tutti i visitatori mobili. La seconda, attiva solo su iPhone, carica un iframe nascosto con l'exploit chain iOS. La distinzione per device e per versione sistema operativo avviene lato server.

"Every mobile visitor is also subject to the gambling-redirect and ad-injection chain. The site operators are victims too: they shipped the trojanized theme unknowingly and served the payload to their own users." — Kush Pandya, Socket security researcher, via The Hacker News

Dal browser al kernel: la catena exploit documentata

La ricerca Socket documenta una progression tecnica che ricorda l'architettura del DarkSword exploit kit. La prima fase sfrutta CVE-2025-31277, vulnerabilità di memoria in WebKit patchata in iOS 18.6, e CVE-2025-43529, vulnerabilità in JavaScriptCore patchata in iOS 18.7.3 e iOS 26.2. Questa fase iniziale consente lettura e scrittura arbitraria da JavaScript.

Da lì la catena prosegue con il bypass del Pointer Authentication Codes, meccanismo di difesa hardware di Apple. Il superamento del PAC abilita l'esecuzione di codice nativo. Segue l'escape dalla sandbox WebContent, che isola il processo browser, e infine l'escalation a privilegi kernel.

Per la fase finale di kernel escalation, i ricercatori Socket hanno identificato tre CVE sospettate: CVE-2025-43398, CVE-2025-43510 e CVE-2025-43520. Secondo i record NVD, tutte e tre sono state patchate in iOS 18.7.2 e iOS 26.1. Il brief non specifica quale delle tre corrisponda effettivamente al kernel escape sfruttato nella campagna. Apple ha corretto il componente kernel in iOS 26.1 senza assegnare CVE specifica a tale fix.

CVE-2025-43510 presenta il CVSS più elevato tra le tre: 7.8 HIGH con vettore AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, secondo il record NVD. Il vettore AV:L indica che l'exploit richiede accesso locale, con interazione utente (UI:R). CVE-2025-43520 e CVE-2025-43398 hanno punteggi più contenuti. CVE-2025-43510 e CVE-2025-43520 risultano nel catalogo CISA KEV con aggiunta il 20 marzo 2026 e scadenza di mitigazione il 3 aprile 2026.

Il payload: sette wallet nel mirino

Una volta ottenuti privilegi kernel, il malware installa spyware e attiva il modulo di furto per wallet cryptocurrency. Secondo la ricerca Socket, il payload interroga il password store di iOS per materiali associati a: Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet e OKX. L'obiettivo sono seed phrase e chiavi private.

"The malware queries the password store for wallet material from Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet, and OKX." — The Hacker News, riportando ricerca Socket

L'infrastruttura di comando e controllo è ospitata su Funnull, entità sanzionata dal Dipartimento del Tesoro USA nel maggio 2026. Secondo The Hacker News, Funnull è associata a romance baiting scams con perdite complessive superiori a 200 milioni di dollari in criptovalute. Il dossier non documenta sovrapposizioni operative dirette tra i due filoni.

SlowMist e Socket: stessa campagna o allarmi paralleli?

Il 19 settembre 2026 SlowMist, tramite il CISO 23pds, ha emesso un allarme pubblico su exploit iOS full-chain per furto di chiavi crypto. SlowMist ha indicato un range presunto di versioni affette da iOS 13 a iOS 26.5, specificando che la conferma finale è in attesa.

La ricerca Socket, pubblicata sei giorni prima, documenta un redeployment della catena exploit con nuovo payload avvenuto approssimativamente il 12 agosto 2026, targettato alle versioni iOS 18.4 fino a 18.6.x. Questa discrepanza nei range versioni — 18.4-18.6.x per Socket, 13-26.5 presunto per SlowMist — impedisce di stabilire con certezza se i due allarmi descrivano la stessa campagna o attività distinte. Il brief elenca come UNKNOWN questa relazione. L'articolo non può presentarle come probabilmente la stessa senza supporto.

A titolo di chiarezza: l'incidente FomoPeek, citato nel brief come correlato esplicitamente da NON confondere, riguarda un'app malevola distribuita tramite App Store. È un vettore diverso dall'exploit browser documentato da Socket.

Cosa fare adesso

Per gli utenti con wallet sui dispositivi iOS, l'aggiornamento a iOS 18.7.2 o iOS 26.1 risulta la contromisura documentata da Apple per le tre CVE sospettate. Il brief non specifica lo stato di patch delle versioni intermedie.

La presenza di CVE-2025-43510 e CVE-2025-43520 nel catalogo CISA KEV impone alle organizzazioni federali USA una scadenza di mitigazione entro il 3 aprile 2026. Questo indicatore conferma exploitation attiva delle vulnerabilità in generale, non specificamente per la campagna Packagist documentata da Socket.

Per gli utenti che visitano siti di streaming vietnamiti o utilizzano piattaforme con temi Composer, il controllo della versione iOS installata resta l'azione prioritaria documentata. Il brief non specifica ulteriori contromisure verificabili.

Posizione editoriale

La redazione ritiene che la campagna documentata da Socket e l'allarme SlowMist siano potenzialmente collegati ma non dimostrabilmente identici. Il range versioni divergente, la mancanza di conferma incrociata tra le due fonti e l'esplicito stato UNKNOWN del brief impongono questa cautela. La ricerca Socket resta l'unica fonte strutturata con dettagli tecnici verificabili sulla catena Packagist. L'allarme SlowMist, sebbene tematicamente affine, richiede verifica indipendente per essere integrato nella stessa narrazione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter