未修正iPhoneを狙う悪質なPHPパッケージが判明、WebKitとカーネル脆弱性を経由して暗号資産ウォレットのシードを窃取

要点

• PHPのパッケージリポジトリ「Packagist」で、Webサイトの訪問者を標的とする悪意ある13個のテーマパッケージが特定された。

• 感染サイトを閲覧したiOS端末に対し、WebKitおよびカーネルの脆弱性を連鎖させたエクスプロイトを実行し、スパイウェアを侵入させる。

• 侵入したマルウェアは、端末内の広範な個人情報に加え、主要な暗号資産ウォレットの復元用シードフレーズを収集して外部へ送信する。

• 攻撃対象は主にiOS 18.4から18.6.xの未修正端末とされ、Appleは関連する脆弱性を修正済みのOSバージョンをすでにリリースしている。

• アプリケーションセキュリティ企業のSocketは2026年9月1日、PHPの公式パッケージリポジトリ「Packagist」において、未修正のiPhoneを標的としてスパイウェアを送り込む13個の悪質なテーマパッケージを発見したと発表した。攻撃者は改ざんしたテーマを通じてWebサイトへ不正なJavaScriptを挿入し、特定のiOS端末を検知すると多段階のエクスプロイトチェーンを展開する。端末内の各種プライベートデータを不正に取得するだけでなく、暗号資産（仮想通貨）ウォレットの認証情報を標的とした金銭的窃取まで行っているという。

配信サイトを介して訪問者を狙う悪質なComposerパッケージ

今回の攻撃で悪用されたのは、PHPのパッケージ管理システムであるComposer向けの公式リポジトリ「Packagist」に登録されていた13個のテーマパッケージだ。これらは5つのベンダー名前空間（vsmov、vsphim、haiau009、chilltvcms、ophimcms）に分散して公開されており、主にベトナムの映画配信サイトやオンラインコミックサイトなどで採用されているCMSのテーマを装っていた。

サイト運営者がこれらのパッケージを導入すると、訪問者のブラウザ上で不正なJavaScriptが自動的に実行される仕組みになっていた。スクリプトは訪問者に対してモバイル向けの広告詐欺やギャンブルサイトへのリダイレクトを実行するほか、アクセス元の端末がiPhoneであった場合には、スパイウェアのインストールを試みるエクスプロイトチェーンを開始する。

WebKitからカーネルへ到達する多段階の攻撃チェーン

iOS端末に対する攻撃は、訪問者の環境を慎重に識別した上で実行される。ページ内に不可視のiframe要素を生成して動作しているiOSのバージョンを判定し、該当するOS環境に最適化されたエクスプロイトを読み込ませる。

攻撃には、Webブラウザの描画エンジンであるWebKitに存在した2件の既知の脆弱性（CVE-2025-31277およびCVE-2025-43529）が悪用されていた。この手法は過去に確認されたエクスプロイトキット「DarkSword」と類似しているとされる。スクリプトはこれらの欠陥を突いてブラウザの保護領域（サンドボックス）を脱出し、GPUプロセスへと権限を昇格させる。

さらに第二段階として、「AppleM2ScalerCSCDriver」と呼ばれるIOKitユーザーインターフェース経由でOSの中枢であるカーネルに干渉し、最終的にシステム全体の読み書き権限を取得する。カーネル脱出の脆弱性について、AppleはSocketからの報告を受ける前に「iOS 26.1」および「macOS 26.1」で修正を完了していたことを確認しているという。なお、このカーネル脆弱性には固有の識別番号が付与されていないが、昨年修正されたCVE-2025-43398、CVE-2025-43510、またはCVE-2025-43520のいずれかに関連しているとみられている。

個人情報の収集と暗号資産ウォレットの窃盗

カーネル権限の掌握に成功したマルウェアは、端末内に保存されている多様なデータを網羅的に収集する。具体的には、キーチェーンデータベース、Wi-Fiの接続パスワード、SMSのメッセージ履歴、連絡先、写真、ブラウザのCookie、通話履歴、位置情報の履歴、各種アカウント情報などが抜き取りの対象となる。

収集されたデータはAES方式で暗号化された後、HTTPS POST通信（/upload）を通じて、定期的に切り替えられる攻撃者のC2（指令統制）サーバー群へと送信される。攻撃の進行状況は、外部のCDNドメイン（cloudfareintcdn[.]com/wd-status.html）に向けて通知されていた。

さらに攻撃者は2026年8月12日頃に攻撃チェーンを再展開し、主にiOS 18.4から18.6.xを実行している端末を標的として、暗号資産ウォレットのシードやニーモニック（復元用の単語列）を盗み出す新しいペイロードを追加した。マルウェアはパスワード保存領域を照会し、Bitget、BitKeep、Bitpie、Phantom、Tonkeeper、Trust Wallet、OKXといった主要なウォレットアプリの資格情報を探索することで、単なる情報窃取にとどまらない直接的な資金の奪取を狙っている。

攻撃インフラと潜在的な予備パッケージ

Socketの調査によると、今回の一連の動きは2026年3月に同社が初めて確認した攻撃キャンペーンの発展形であると分析されている。当時は「OphimCMS」のテーマを装った6個のパッケージを用い、訪問者をアダルトサイトやギャンブルサイトへ誘導する手口が確認されていた。

攻撃に使用されているホスティングインフラには「Funnull」のサービスが使われており、コミット履歴のタイムスタンプなどのメタデータから、ベトナムを拠点とするグループが背後に存在している可能性が指摘されている。

また、同一の5つのベンダー名前空間からは、分析時点で悪意あるコードを含んでいない追加のテーマパッケージも複数公開されている。しかし、これらのパッケージは管理画面の「カスタムJS」機能を通じて、後から任意のページへ悪意あるスクリプトを容易に挿入できる構造になっており、攻撃者がいつでも攻撃を再開できるよう準備している可能性が示唆されている。