สรุปสั้น
นักวิจัยจากบริษัท Socket เปิดเผยว่าพบแพ็กเกจธีม Composer ที่ฝังโค้ดอันตรายรวม 13 ตัวบนคลังแพ็กเกจ Packagist ซึ่งถูกออกแบบมาให้แทรก JavaScript ลงในเว็บไซต์ดูหนังและอ่านการ์ตูนออนไลน์ของเวียดนามที่นำธีมเหล่านั้นไปติดตั้ง โดยโค้ดที่ถูกแทรกจะทำงานสองสายพร้อมกันกับผู้เข้าชมเว็บ สายแรกเป็นการฉ้อโกงโฆษณาบนมือถือและเปลี่ยนเส้นทางไปยังเว็บพนัน ส่วนอีกสายหนึ่งเป็นชุดเจาะช่องโหว่ตั้งแต่ WebKit ไล่ไปจนถึงเคอร์เนลที่ยิงเฉพาะผู้ใช้ iPhone ซึ่งยังไม่ได้อัปเดตระบบปฏิบัติการ ปลายทางคือการติดตั้งสปายแวร์ที่ดูดข้อมูลออกจากเครื่องแทบทุกประเภท
แคมเปญนี้ต่อยอดจากปฏิบัติการที่ Socket เคยเปิดโปงไว้ตั้งแต่เดือนมีนาคม 2569 ซึ่งตอนนั้นใช้แพ็กเกจปลอมเพียง 6 ตัวที่แอบอ้างเป็นธีมของ OphimCMS และที่สำคัญคือผู้โจมตีได้เปลี่ยนเพย์โหลดชุดใหม่เมื่อราววันที่ 12 สิงหาคม 2569 โดยเพิ่มความสามารถในการดูดวลีกู้ (seed และ mnemonic) ของกระเป๋าเงินคริปโตออกจากคีย์เชนของ iOS ทำให้แคมเปญขยับจากการเก็บข้อมูลเครื่องไปสู่การขโมยทรัพย์สินโดยตรง เซิร์ฟเวอร์ที่ใช้โฮสต์ชุดเจาะยังอยู่บนโครงสร้างพื้นฐานของ Funnull ซึ่งถูกสหรัฐฯ คว่ำบาตรไปเมื่อเดือนพฤษภาคมปีที่แล้วจากการสนับสนุนขบวนการหลอกลวงเชิงความสัมพันธ์ที่สร้างความเสียหายกว่า 200 ล้านดอลลาร์สหรัฐ
จุดที่ทำให้เหตุการณ์นี้ต่างจากการโจมตีซัพพลายเชนทั่วไปคือผู้ดูแลเว็บไซต์ที่ติดตั้งธีมกลายเป็นทั้งเหยื่อและผู้แพร่มัลแวร์ให้ผู้ใช้ของตัวเองโดยไม่รู้ตัว เพราะเพียงแค่ผู้ใช้เปิดหน้าเว็บด้วย Safari บน iPhone ที่ยังไม่ได้อัปเดตเกิน iOS 18.6.x ข้อมูลคีย์เชน รหัสผ่าน Wi-Fi ข้อความ SMS รูปภาพ รายชื่อผู้ติดต่อ คุกกี้ ประวัติตำแหน่ง และวลีกู้กระเป๋าคริปโตก็ถูกดูดออกไปได้ทันทีโดยไม่ต้องกดอะไรเพิ่ม
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 กันยายน 2569 ว่า นาย Kush Pandya นักวิจัยด้านความปลอดภัยของบริษัท Socket ได้เปิดเผยรายละเอียดชุดแพ็กเกจธีมที่ถูกฝังโค้ดอันตรายบน Packagist ซึ่งเป็นคลังแพ็กเกจกลางของภาษา PHP โดยแพ็กเกจทั้งหมดกระจายอยู่ใน 5 เนมสเปซของผู้เผยแพร่ ได้แก่ vsmov (theme-dy, theme-rrdyw, theme-motchill, theme-vsmov), vsphim (theme-heovl, theme-thempho), haiau009 (kkphim-legend, kkphim-motchill), chilltvcms (theme-legend) และ ophimcms (theme-dy, theme-motchill, theme-pcc, theme-rrdyw)
Pandya อธิบายว่าโค้ดที่ถูกแทรกเข้าไปจะทำงานสองอย่างกับผู้เข้าชมเว็บ คือห่วงโซ่ฉ้อโกงโฆษณาและเปลี่ยนเส้นทางไปเว็บพนันสำหรับผู้ใช้มือถือทุกราย และห่วงโซ่การเจาะจาก WebKit ไปสู่เคอร์เนลที่โฮสต์อยู่บน Funnull สำหรับผู้ใช้ iPhone โดยเฉพาะ ซึ่งจบลงด้วยการวางสปายแวร์และขโมยกระเป๋าเงินคริปโต
Socket ระบุว่าเนมสเปซทั้ง 5 รายเดียวกันนี้ยังเผยแพร่แพ็กเกจธีมตัวอื่นเพิ่มอีกหลายตัวที่ยังไม่มีเพย์โหลดทำงานอยู่ในช่วงที่วิเคราะห์ แต่ถูกตั้งค่าไว้ในลักษณะที่สามารถเปิดใช้งานโค้ดอันตรายได้ทันทีผ่านช่อง “Custom JS” ที่ถูกเรนเดอร์ลงไปในทุกหน้าของเว็บไซต์ เท่ากับว่าผู้โจมตีเตรียมสวิตช์เอาไว้รอเปิดอยู่แล้ว
ในแง่ผู้อยู่เบื้องหลัง Socket ยังไม่ฟันธงว่าเป็นใคร แต่ประเมินจากข้อมูลเวลาในเมทาดาทาของคอมมิตว่าน่าจะเป็นกลุ่มที่ดำเนินการจากเวียดนาม ซึ่งสอดคล้องกับเป้าหมายที่เป็นเว็บสตรีมมิงภาษาเวียดนามและระบบจัดการเนื้อหาอย่าง OphimCMS กับ KKPhim ที่นิยมใช้ในวงการเว็บดูหนังเถื่อนของประเทศนั้น
การโจมตีระลอกล่าสุดพุ่งเป้าไปที่อุปกรณ์ iOS เวอร์ชัน 18.4 ถึง 18.6.x เป็นหลัก ซึ่งครอบคลุมเครื่องตั้งแต่ iPhone XS ไปจนถึง iPhone 16 และมัลแวร์ตัวใหม่จะไล่ค้นที่เก็บรหัสผ่านเพื่อหาข้อมูลกระเป๋าเงินของ Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet และ OKX โดยเฉพาะ
ข้อมูลที่ถูกขโมยจะถูกเข้ารหัสด้วย AES แล้วอัปโหลดผ่าน HTTPS ด้วยคำสั่ง POST ไปยังพาธ /upload บนโดเมนสั่งการที่หมุนเวียนสลับกันไปเรื่อย ๆ ขณะที่ตัวเวิร์กเกอร์จะรายงานความคืบหน้าของการเจาะกลับไปที่ cloudfareintcdn[.]com/wd-status.html ซึ่งเป็นโดเมนที่ตั้งชื่อเลียนแบบผู้ให้บริการ CDN รายใหญ่เพื่อให้ดูกลมกลืนกับทราฟฟิกปกติ (หมายเหตุ: โดเมนถูก defang แล้ว)
รายละเอียดช่องโหว่
ห่วงโซ่การเจาะฝั่ง iOS เริ่มจากการแทรก iframe ที่ซ่อนไว้ในหน้าเว็บเพื่อตรวจสอบว่าเครื่องของเหยื่อใช้ iOS เวอร์ชันใด แล้วจึงโหลดชุดเจาะที่ตรงกับเวอร์ชันนั้นลงมา โดยอาศัยช่องโหว่ของ WebKit สองรายการคือ CVE-2025-31277 ซึ่งแก้ไปแล้วในเวอร์ชัน 18.6 และ CVE-2025-43529 ซึ่งแก้ในเวอร์ชัน 18.7.3 และ 26.2 ในรูปแบบที่ใกล้เคียงกับชุดเจาะ DarkSword ที่เคยหลุดซอร์สโค้ดออกมา (ดูโพสต์ 2026/08/012 )
เมื่อยึดหน้าเว็บได้แล้ว เพย์โหลดจะไต่ออกจากแซนด์บ็อกซ์ของ WebContent ไปยังโปรเซส GPU ก่อน จากนั้นขั้นที่สองจึงไปถึงเคอร์เนลผ่าน IOKit user client ของไดรเวอร์ AppleM2ScalerCSCDriver และจบลงด้วยการได้สิทธิ์อ่านและเขียนหน่วยความจำระดับเคอร์เนล ซึ่งเป็นระดับที่ทำให้อ่านฐานข้อมูลคีย์เชนได้โดยตรง
Pandya บอกกับ The Hacker News ว่า Apple ไม่ได้ออกหมายเลข CVE ให้กับช่องโหว่ที่ใช้หลุดออกจากแซนด์บ็อกซ์ไปยังเคอร์เนล แต่ยืนยันว่าได้แก้ปัญหานี้ไปแล้วใน iOS และ macOS เวอร์ชัน 26.1 ก่อนที่จะได้รับรายงานจากทีมวิจัยเสียอีก โดยคาดว่าน่าจะเป็นหนึ่งในสามรายการคือ CVE-2025-43398, CVE-2025-43510 หรือ CVE-2025-43520 ซึ่งล้วนเป็นบั๊กระดับเคอร์เนลที่ถูกแก้ไปช่วงปลายปีที่แล้ว จุดนี้เป็นข้อจำกัดของหลักฐานที่ควรระบุไว้ตรง ๆ ว่ายังไม่มีการยืนยันหมายเลขที่แน่ชัดจากผู้ผลิต
ผลกระทบ
ผู้ที่รับผลกระทบหนักที่สุดคือผู้ใช้ iPhone ในเวียดนามที่เข้าเว็บสตรีมมิงซึ่งติดตั้งธีมเหล่านี้ เพราะเพียงเปิดหน้าเว็บด้วย Safari บนเครื่องที่ยังไม่ได้อัปเดตเกิน iOS 18.6.x ข้อมูลคีย์เชน รหัสผ่าน Wi-Fi ฐานข้อมูล SMS สมุดที่อยู่ รูปภาพ คุกกี้ของเบราว์เซอร์ ประวัติการโทร ประวัติตำแหน่ง และฐานข้อมูลบัญชีก็ถูกดูดออกไปได้ทั้งหมด ส่วนผู้ใช้มือถือรายอื่นที่ไม่ใช่ iPhone ก็ยังเจอห่วงโซ่ฉ้อโกงโฆษณาและการเปลี่ยนเส้นทางไปเว็บพนันอยู่ดี
อีกกลุ่มที่ไม่ควรมองข้ามคือเจ้าของเว็บไซต์เอง เพราะพวกเขาติดตั้งธีมที่ถูกฝังโค้ดโดยไม่รู้ตัวและกลายเป็นผู้ส่งเพย์โหลดให้ผู้ใช้ของตัวเอง ซึ่งนอกจากจะเสียความน่าเชื่อถือแล้วยังเสี่ยงต่อการถูกดำเนินคดีในฐานะผู้เผยแพร่มัลแวร์ในหลายเขตอำนาจศาล และเนื่องจากช่องทางแพร่กระจายคือคลังแพ็กเกจสาธารณะที่ใครก็ดึงไปใช้ได้ ผู้ดูแลเว็บนอกเวียดนามที่หยิบธีมสำเร็จรูปเหล่านี้ไปใช้ก็ตกอยู่ในความเสี่ยงเดียวกัน
สิ่งที่ทำให้เคสนี้น่ากังวลในเชิงโครงสร้างคือมันแสดงให้เห็นว่าชุดเจาะ iOS ระดับ WebKit-to-kernel ซึ่งเคยเป็นของหายากและมีราคาสูง ตอนนี้ถูกนำมาผูกกับการโจมตีซัพพลายเชนของแพ็กเกจโอเพนซอร์สแบบหว่านแหได้แล้ว ต้นทุนต่อเหยื่อหนึ่งรายจึงต่ำลงมาก และเป้าหมายก็เปลี่ยนจากการสอดแนมบุคคลเฉพาะรายไปเป็นการเก็บเกี่ยวทรัพย์สินคริปโตจากคนทั่วไปจำนวนมาก
คำแนะนำ
ผู้ดูแลเว็บไซต์ที่ใช้ OphimCMS หรือ KKPhim ควรตรวจสอบทันทีว่ามีการติดตั้งแพ็กเกจใดในรายชื่อทั้ง 13 ตัวข้างต้นหรือไม่ หากพบให้ถอนออกทันที เปลี่ยนรหัสผ่านและกุญแจทั้งหมดที่เกี่ยวข้องกับระบบ แล้วตรวจสอบสคริปต์ jQuery และไฟล์ธีมที่ส่งออกไปยังผู้ใช้เทียบกับตัวชี้วัดการบุกรุกที่ Socket เผยแพร่ นอกจากนี้ควรตรวจช่อง “Custom JS” ของระบบจัดการเนื้อหาว่ามีสคริปต์แปลกปลอมถูกเติมเข้ามาหรือไม่ เพราะเป็นจุดที่ผู้โจมตีเตรียมไว้เปิดใช้ภายหลัง
ฝั่งผู้ใช้ทั่วไปควรอัปเดต iOS ให้เป็นเวอร์ชัน 26.1 ขึ้นไปโดยเร็วที่สุด เพราะเครื่องที่ค้างอยู่ที่ 18.4 ถึง 18.6.x คือเป้าหมายโดยตรงของระลอกล่าสุด และผู้ที่เก็บกระเป๋าเงินคริปโตไว้บนโทรศัพท์ควรถือว่าวลีกู้ที่เคยอยู่ในคีย์เชนของเครื่องที่ไม่ได้อัปเดตนั้นรั่วไปแล้ว ให้ย้ายทรัพย์สินไปยังกระเป๋าใหม่ที่สร้างบนอุปกรณ์สะอาดแทนการเปลี่ยนเฉพาะรหัสผ่าน
สำหรับองค์กร ควรเพิ่มการตรวจสอบแพ็กเกจของบุคคลที่สามในกระบวนการพัฒนา โดยล็อกเวอร์ชันแพ็กเกจ ตรวจสอบผู้เผยแพร่ก่อนดึงธีมหรือไลบรารีจากคลังสาธารณะ และเฝ้าระวังทราฟฟิกขาออกที่วิ่งไปยังโดเมนแปลกปลอมซึ่งตั้งชื่อเลียนแบบผู้ให้บริการ CDN