恶意网站主题暗藏攻击链！黑客借Composer投毒窃取iPhone加密货币助记词

看雪学苑
看雪学苑

看雪学苑

2026年9月1日 18:05
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

近期Socket安全研究团队披露一起供应链攻击事件：攻击者篡改13个Packagist网站主题包，通过越南影视漫画流媒体网站，向访客植入恶意代码。普通网站管理员在不知情的情况下安装恶意主题，所有访问站点的用户都会被加载恶意脚本，iPhone设备成为主要攻击目标。

本次攻击利用Composer组件管理器传播恶意主题包，这些伪装成正常的主题保留原有功能，偷偷植入JavaScript加载器。攻击者对访问者做设备、来源识别过滤：桌面端、爬虫、直接访问的用户不会触发攻击，仅针对移动设备访客实施攻击，以此降低被安全检测发现的概率。

PART 01

攻击两条分支链路

分支一：赌博广告欺诈

针对普通移动访客，恶意脚本会诱导跳转至赌博网站，完成广告欺诈获利。

分支二：iOS WebKit到内核完整利用链（高危）

满足条件的iPhone用户会触发完整漏洞利用链，这是本次攻击最危险部分。

1. 恶意脚本从攻击者服务器拉取额外攻击载荷，通过隐藏页面检测设备iOS版本；

2. 利用两个公开WebKit漏洞 CVE‑2025‑31277、CVE‑2025‑43529，实现浏览器渲染器远程代码执行；

3. 进一步完成内核逃逸，获取设备深层权限。

✅ 受影响设备范围：iPhone XS～iPhone16系列，未更新系统的旧版本设备。

✅ 安全版本：iOS18系列升级至18.7.3、iOS26.2及以上版本可抵御该攻击链。

PART 02

窃取哪些敏感数据？

成功入侵设备后，间谍软件会批量窃取大量隐私数据，2026年8月更新的版本新增加密货币钱包窃取能力：

1. 设备本地数据：钥匙串、WiFi密码、短信、通讯录、照片、Cookie、通话记录、位置信息；

2. 加密货币钱包助记词/种子短语，这是资产的核心恢复凭证，一旦泄露，黑客可直接转移钱包内全部资产；

3. 全部窃取数据经过AES加密后，上传至20个轮换的C2控制服务器，攻击者持续更换域名，增加溯源与封禁难度。

关键风险点：网站运营方可能完全不知情，只是安装了第三方主题，就把全站访客暴露在攻击之下。

PART 03

多方安全建议

网站运营者

1. 立即卸载来源不明的第三方主题，核查前端页面JS脚本；

2. Composer依赖包做版本锁定，安装主题、资源类组件前务必做代码审计；

3. 轮换服务器相关凭证，监测出站网络流量，排查可疑请求。

普通iPhone用户

1. 尽快升级iOS系统到安全版本，该攻击完全依赖旧系统未修复漏洞；

2. 谨慎访问小众影视、漫画流媒体站点，避免点击不明跳转链接。

安全团队

1. 封禁报告内的IOC网络指标；

2. 监测页面异常加载器、隐藏iframe、非常规浏览器请求行为。

资讯来源：Socket.dev、Cyber Security News

球分享

球点赞

球在看