Die iOS-Angriffskette beginnt mit einem versteckten iframe-Element, das die iOS-Version ermittelt und eine passende Variante des Exploits nachlädt. Zum Einsatz kommen zwei WebKit-Schwachstellen: CVE-2025-31277, geschlossen in Version 18.6, und CVE-2025-43529, behoben in den Versionen 18.7.3 und 26.2. Die Vorgehensweise ähnelt laut Socket dem Exploit-Kit DarkSword.
Anschließend verlässt die Schadfracht die WebContent-Sandbox in Richtung GPU-Prozess. Eine zweite Stufe erreicht über den IOKit-User-Client AppleM2ScalerCSCDriver den Kernel und erlangt dort Lese- und Schreibrechte. Diese Kernel-Ausbruchslücke hat Apple nach Darstellung der Forscher in iOS und macOS 26.1 behoben.
Einen CVE-Bezeichner für die Kernel-Lücke habe Apple nicht herausgegeben, sagte Pandya gegenüber The Hacker News; der Hersteller habe aber bestätigt, dass das Problem bereits vor Eingang des Berichts in iOS 26.1 und macOS 26.1 gepatcht war. Vermutet wird ein Zusammenhang mit CVE-2025-43398, CVE-2025-43510 oder CVE-2025-43520 – allesamt kernelbezogene Fehler, die Ende vergangenen Jahres korrigiert wurden.
“Bei Erfolg nutzt die finale Schadfracht den Kernel-Lesezugriff, um Keychain-Datenbanken, WLAN-Passwörter, die SMS-Datenbank, das Adressbuch, Fotos, Browser-Cookies, Anrufverlauf, Standortverlauf und Kontodatenbanken zu sammeln, verschlüsselt sie mit AES und lädt sie per HTTPS POST /upload zu einem rotierenden Pool von Command-and-Control-Domains hoch”, erläuterte Pandya. Den Fortschritt der Ausnutzung melde der Worker an cloudfareintcdn[.]com/wd-status.html.
Um den 12. August 2026 herum haben die Angreifer die komplette iOS-Kette erneut ausgerollt – vorrangig gegen Geräte mit den Versionen 18.4 bis 18.6.x und mit einer neuen Schadfracht, die zusätzlich Seed-Phrasen und Mnemonics von Kryptowährungs-Wallets aus dem iOS-Schlüsselbund abgreift. Die Malware durchsucht den Passwortspeicher gezielt nach Material von Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet und OKX und erweitert die Datensammlung damit um direkten Finanzdiebstahl.
Dieselben fünf Anbieter-Namensräume haben laut Socket weitere Theme-Pakete veröffentlicht, die zum Zeitpunkt der Analyse keine aktive Schadfracht enthielten. Sie seien jedoch so konfiguriert, dass sich Schadcode über Felder für “Custom JS” aktivieren lässt, die auf jeder Seite der betroffenen Websites eingebunden werden.
Wer hinter der Kampagne steht, ist unklar. Anhand der Zeitstempel in den Commit-Metadaten geht Socket von einer vietnamesisch operierenden Gruppe aus. Die Hosts der iOS-Exploits laufen auf Infrastruktur von Funnull – einer Einrichtung, die die USA im Mai sanktioniert haben, weil sie sogenannte Romance-Baiting-Betrügereien mit Kryptoverlusten von über 200 Millionen US-Dollar ermöglicht haben soll.
Betreibern von Seiten mit OphimCMS oder KKPhim rät Socket, zu prüfen, ob eines der genannten Pakete installiert ist, es gegebenenfalls zu entfernen, Zugangsdaten zu wechseln und ausgelieferte jQuery- und Theme-Skripte auf Kompromittierungsindikatoren zu untersuchen.