13 paquetes maliciosos de Packagist atacan iPhones sin parchear para robar las claves de acceso a billeteras de criptomonedas.

Investigadores de ciberseguridad han identificado en Packagist un conjunto de 13 paquetes de temas maliciosos de Composer diseñados para inyectar JavaScript en sitios web vietnamitas de streaming de películas y cómics que instalan dichas bibliotecas e inician el despliegue de software espía dirigido a dispositivos iOS sin actualizar.

"El código inyectado ejecuta dos operaciones contra los visitantes de un sitio: una cadena de fraude publicitario móvil y redireccionamiento a sitios de apuestas, y, en iPhones, una cadena de exploits de WebKit al kernel que instala software espía", declaró Kush Pandya, investigador de seguridad de Socket.

Se estima que esta actividad forma parte de una campaña documentada por primera vez por la empresa de seguridad de aplicaciones en marzo de 2026, que utilizaba seis paquetes maliciosos de Packagist haciéndose pasar por temas de OphimCMS para redirigir a los visitantes, extraer URL, inyectar anuncios y servir, desde la infraestructura alojada en Funnull, una carga útil de segunda etapa para dirigir a las víctimas a sitios de apuestas y contenido para adultos.