보안 연구팀이 PHP 패키지 저장소인 Packagist에서 악성 테마 패키지 13개를 발견했습니다. 이 패키지들은 주로 베트남의 영화·만화 스트리밍 사이트에 설치되며, 사이트 방문자의 기기에 악성 자바스크립트를 몰래 심습니다. iOS 18.6 이하 버전의 아이폰(iPhone XS~iPhone 16)을 사용하는 방문자는 취약점(WebKit 및 커널 결함)을 통해 스파이웨어가 자동 설치되고, 키체인 비밀번호·Wi-Fi 암호·문자(SMS)·사진·위치 기록은 물론 Bitget·Trust Wallet·OKX 등 암호화폐 지갑의 시드(복구 문구)까지 탈취당할 수 있습니다. 모바일 방문자 전원은 도박 사이트로 강제 리디렉션되거나 광고 사기에도 노출됩니다. OphimCMS 또는 KKPhim 기반 사이트 운영자는 해당 패키지 설치 여부를 즉시 점검하고 제거해야 하며, iOS 사용자는 iOS 26.1 이상 또는 18.7.3 이상으로 업데이트해야 합니다.
Packagist에 게시된 악성 Composer 테마 패키지 13개가 베트남 스트리밍 사이트에 악성 JS를 주입하여, iOS 18.6 이하 아이폰 방문자에게 WebKit→커널 익스플로잇 체인을 통해 스파이웨어를 설치하고 암호화폐 지갑 시드를 탈취하는 캠페인이 확인됐다.
피해 기기에서 키체인 DB·Wi-Fi 암호·SMS·주소록·사진·쿠키·통화기록·위치기록·계정 DB가 AES 암호화 후 외부 서버로 유출되며, Bitget·BitKeep·Phantom·Trust Wallet·OKX 등 주요 지갑의 시드 및 니모닉이 직접 탈취된다. 모바일 방문자 전원은 도박 리디렉션 및 광고 사기에도 노출된다.
공격자가 OphimCMS·KKPhim용 정상 테마로 위장한 악성 Composer 패키지를 배포했고, 이를 무심코 설치한 사이트 운영자가 자신도 모르게 방문자에게 익스플로잇 페이로드를 제공하는 구조다. 익스플로잇은 CVE-2025-31277(WebKit)·CVE-2025-43529(WebKit) 및 미공개 커널 탈출 취약점(CVE-2025-43398/43510/43520 중 하나로 추정)을 연쇄 활용한다.
OphimCMS·KKPhim 운영자는 13개 악성 패키지 설치 여부를 확인하고 즉시 제거, 자격증명 전체 교체, jQuery 및 테마 스크립트 내 침해지표(IoC) 감사를 수행해야 한다. iOS 사용자는 iOS 26.1 이상(커널 패치) 또는 최소 18.7.3 이상으로 업데이트해야 한다.
공급망 공격(서드파티 패키지)을 통한 웹사이트 방문자 타깃 익스플로잇이 현실화된 사례로, PHP Composer 패키지의 출처·무결성 검증이 필수다. iOS를 최신 버전으로 유지하지 않으면 사이트 방문만으로 기기 전체가 장악될 수 있음을 보여준다.
본문
보안 연구팀이 Packagist에 게시된 악성 Composer 테마 패키지 13개를 발견했습니다. 해당 패키지들은 이를 설치한 베트남 영화·만화 스트리밍 사이트에 자바스크립트를 주입하여, 패치되지 않은 iOS 기기를 겨냥한 스파이웨어 배포를 유발하도록 설계되었습니다.
Socket의 보안 연구원 Kush Pandya는 "주입된 코드는 사이트 방문자를 상대로 두 가지 작업을 수행합니다. 모바일 광고 사기 및 도박 사이트 강제 리디렉션 체인, 그리고 아이폰에서는 스파이웨어를 설치하는 WebKit-to-커널 익스플로잇 체인입니다"라고 밝혔습니다.
이 활동은 2026년 3월 Socket이 처음 문서화한 캠페인의 일환으로 평가됩니다. 당시에는 OphimCMS 테마로 위장한 악성 Packagist 패키지 6개를 활용해 방문자를 리디렉션하고, URL을 유출하며, 광고를 삽입하고, Funnull 인프라에서 2단계 페이로드를 제공해 피해자를 도박·성인 콘텐츠 사이트로 유도했습니다.
5개 벤더 네임스페이스에 걸쳐 있는 전체 패키지 목록은 다음과 같습니다:
- vsmov: theme-dy, theme-rrdyw, theme-motchill, theme-vsmov
- vsphim: theme-heovl, theme-thempho
- haiau009: kkphim-legend, kkphim-motchill
- chilltvcms: theme-legend
- ophimcms: theme-dy, theme-motchill, theme-pcc, theme-rrdyw
전체 공격 흐름을 보면, 트로이목마가 심긴 Composer 테마가 자바스크립트를 주입하여 모바일 도박 및 광고 사기 리디렉션을 실행하고, 아이폰에서는 Funnull이 호스팅하는 WebKit-to-커널 익스플로잇 체인을 통해 스파이웨어 설치 및 암호화폐 지갑 탈취로 이어집니다.
iOS 공격 체인은 숨겨진 iframe 요소를 삽입해 iOS 버전을 판별한 뒤, 해당 버전에 맞는 익스플로잇을 로드하도록 설계되었습니다. 구체적으로는 DarkSword 익스플로잇 킷과 유사한 방식으로 두 가지 WebKit 취약점 — CVE-2025-31277(iOS 18.6에서 패치)과 CVE-2025-43529(iOS 18.7.3 및 26.2에서 패치) — 을 무기화합니다.
이후 페이로드는 WebContent 샌드박스를 탈출해 GPU 프로세스로 이동하고, 2단계에서는 AppleM2ScalerCSCDriver IOKit 사용자 클라이언트를 통해 커널에 도달하여 최종적으로 읽기·쓰기 권한을 획득합니다. Apple은 iOS 및 macOS 26.1에서 이 커널 탈출 취약점을 패치한 것으로 알려졌습니다.
Pandya는 The Hacker News에 "Apple이 커널 탈출 취약점에 대한 CVE 식별자를 공개하지 않았지만, 자사 보고서가 접수되기 전에 이미 iOS 26.1 및 macOS 26.1에서 해당 문제가 패치됐다고 확인했다"고 전했습니다. 해당 취약점은 작년 말 수정된 커널 관련 결함인 CVE-2025-43398, CVE-2025-43510, CVE-2025-43520 중 하나로 추정됩니다.
Pandya는 "익스플로잇에 성공하면 최종 페이로드가 커널 읽기를 통해 키체인 DB, Wi-Fi 암호, SMS DB, 주소록, 사진, 브라우저 쿠키, 통화 기록, 위치 기록, 계정 DB를 수집하고, AES로 암호화한 뒤 HTTPS POST /upload를 통해 순환하는 명령·제어(C2) 도메인 풀로 업로드합니다. 워커는 cloudfareintcdn[.]com/wd-status.html로 익스플로잇 진행 상황을 비콘 전송합니다"라고 설명했습니다.
이 캠페인의 위협 행위자들은 2026년 8월 12일 무렵 iOS 익스플로잇 체인 전체를 재배포한 것으로 확인되었으며, 주로 iOS 18.4~18.6.x 기기를 타깃으로 삼고, iOS 키체인 암호화폐 지갑 시드 및 니모닉 탈취 기능이 추가된 새로운 페이로드를 사용했습니다.
악성코드는 Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet, OKX의 지갑 데이터를 비밀번호 저장소에서 조회하여, 기기 데이터 수집을 넘어 직접적인 금전 탈취까지 수행합니다.
Socket은 동일한 5개 벤더 네임스페이스가 분석 시점에는 활성 페이로드가 없는 추가 테마 패키지를 게시했다고 밝혔습니다. 그러나 이들 패키지는 "Custom JS" 필드를 통해 사이트의 모든 페이지에 렌더링될 수 있도록 구성되어 있어, 언제든 악성 코드가 활성화될 수 있습니다.
캠페인의 배후는 명확히 밝혀지지 않았으나, 커밋 메타데이터 타임스탬프를 근거로 베트남 운영 그룹의 소행으로 추정됩니다. iOS 익스플로잇을 호스팅하는 인프라는 Funnull이 제공하고 있는데, Funnull은 지난 5월 미국 정부로부터 2억 달러 이상의 암호화폐 피해를 초래한 로맨스 사기를 조장한 혐의로 제재를 받은 단체입니다.
Socket은 "해당 테마 중 하나가 설치된 사이트를 모바일 Safari로 방문한 iOS 18.6.x 이하 아이폰(iPhone XS~iPhone 16) 사용자는 페이지를 불러오는 것만으로 키체인, Wi-Fi 암호, SMS, 사진, 연락처, 쿠키, 위치 기록, 계정 DB, 암호화폐 지갑 시드가 수집·유출될 수 있습니다"라고 경고했습니다.
"모바일 방문자 전원이 도박 리디렉션 및 광고 주입 체인에도 노출됩니다. 사이트 운영자 역시 피해자입니다. 이들은 트로이목마가 심긴 테마를 모르고 설치했고, 자신의 이용자들에게 페이로드를 제공하게 된 것입니다."
위협에 대응하기 위해, OphimCMS 또는 KKPhim을 사용하는 사이트 운영자는 앞서 언급된 패키지의 설치 여부를 확인하고, 발견 시 즉시 제거하며, 자격증명을 모두 교체하고, 침해지표(IoC) 확인을 위해 jQuery 및 테마 스크립트를 감사할 것을 권고합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
