Cyberprzestępcy ponownie biorą na cel użytkowników kryptowalut, a tym razem zagrożenie jest szczególnie niepokojące, ponieważ część złośliwych aplikacji znaleziono bezpośrednio w App Store firmy Apple.
Badacze bezpieczeństwa z Kaspersky odkryli kampanię znaną jako FakeWallet, obejmującą 26 fałszywych aplikacji na iOS, które podszywają się pod popularne portfele kryptowalutowe, takie jak MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken i Bitpie.
Ich cel był prosty, ale wyjątkowo niebezpieczny: kradzież fraz odzyskiwania portfela i kluczy prywatnych — czyli danych uwierzytelniających, które dają atakującym pełny dostęp do kryptowalut ofiary.
Jak działa kampania FakeWallet
Na pierwszy rzut oka aplikacje wyglądały przekonująco.
Wiele z nich kopiowało tożsamość wizualną zaufanych aplikacji portfeli, w tym podobne ikony i elementy marki. W niektórych przypadkach atakujący stosowali drobne zmiany w pisowni lub literówki w nazwie aplikacji — na przykład coś w rodzaju „LeddgerNew” zamiast Ledger — aby nakłonić nieświadomych użytkowników do jej pobrania.
Inne aplikacje obrały odmienną strategię. Zamiast udawać portfele kryptowalutowe, podszywały się pod niewinne narzędzia, takie jak:
- 🎮 gry
- 🧮 kalkulatory
- ✅ planery zadań
Po uruchomieniu aplikacje te przekierowywały użytkowników na strony w przeglądarce, zaprojektowane tak, by przypominały App Store, gdzie zachęcano ich do pobrania czegoś, co wyglądało na legalną aplikację portfela. W rzeczywistości były to trojanizowane wersje stworzone do kradzieży wrażliwych danych portfela.
Co kradnie to złośliwe oprogramowanie
Głównym celem kampanii jest fraza odzyskiwania, znana także jako fraza seed lub fraza mnemoniczna.
Ta fraza jest w praktyce kluczem głównym do portfela kryptowalutowego. Każdy, kto ją zdobędzie, może odtworzyć portfel w innym miejscu i przejąć pełną kontrolę nad środkami.
Według Kaspersky złośliwe aplikacje zostały zaprojektowane specjalnie po to, aby przejmować:
- 🔑 frazy odzyskiwania
- 🔐 klucze prywatne
- 💰 dostęp do portfeli kryptowalutowych
Skradzione dane są następnie wysyłane na zewnętrzne serwery kontrolowane przez atakujących, co pozwala operatorom na:
- opróżnienie zasobów w kryptowalutach
- przejęcie kontroli nad portfelem
- inicjowanie oszukańczych transakcji
W niektórych przypadkach malware podpina się do interfejsu portfela i przechwytuje frazę seed bezpośrednio w momencie, gdy użytkownik ją wpisuje. W innych wyświetla stronę phishingową z prośbą o podanie frazy mnemonicznej w ramach fałszywego kroku weryfikacji.
Dlaczego to zagrożenie jest tak poważne
Ta kampania wyróżnia się tym, że udoskonala wcześniejsze metody kradzieży kryptowalut na kilka sposobów.
Dawniej fałszywe aplikacje portfeli często opierały się na nieoficjalnych stronach internetowych lub nadużywały profili aprowizacji poza standardowymi kanałami sklepów z aplikacjami. Tym razem atakującym udało się umieścić aplikacje bezpośrednio w App Store firmy Apple, przynajmniej dla użytkowników, których konto Apple miało ustawiony region Chiny.
To znacznie zwiększa wiarygodność ataku.
Użytkownicy często zakładają, że jeśli aplikacja jest dostępna w oficjalnym App Store, to musi być bezpieczna. FakeWallet pokazuje, że takie założenie może być niebezpieczne.
Kaspersky podejrzewa również, że kampania może być powiązana z cyberprzestępcami stojącymi za wcześniejszą aktywnością trojana SparkKitty, ponieważ niektóre próbki zawierały funkcje oparte na OCR, umożliwiające kradzież fraz odzyskiwania portfela z obrazów lub zawartości ekranu.
Apple usunęło wiele aplikacji
Po ujawnieniu sprawy Apple miało usunąć wiele ze złośliwych aplikacji.
Kampania pokazuje jednak ważną lekcję: nawet oficjalne sklepy z aplikacjami nie są odporne na nadużycia.
Fakt, że aplikacje te były dostępne wystarczająco długo, by dotknąć użytkowników, przypomina, że zaufanie do sklepu z aplikacjami nigdy nie powinno zastępować ostrożności użytkownika.
Obecnie nie ma dowodów, że te same aplikacje były dystrybuowane przez Google Play Store, ale to nie oznacza, że użytkownicy Androida są bezpieczni.
Użytkownicy Androida również narażeni na podobne ryzyko
Równolegle z FakeWallet badacze z Cyble odkryli także zaawansowany framework złośliwego oprogramowania na Androida o nazwie MiningDropper (nazywany też BeatBanker).
To malware zaprojektowano tak, aby łączyło wiele funkcji przestępczych, w tym:
- ⛏️ kopanie kryptowalut
- 🧾 kradzież informacji
- 🖥️ zdalny dostęp
- 🏦 dostarczanie bankowego złośliwego oprogramowania
MiningDropper rozprzestrzeniano według doniesień przez trojanizowane aplikacje na Androida oraz fałszywe strony internetowe podszywające się pod:
- banki
- urzędy transportowe
- legalne usługi
Wykorzystuje on zaawansowane techniki, takie jak:
- zaciemnianie kodu oparte na XOR
- etapowe dostarczanie ładunku szyfrowanego AES
- dynamiczne ładowanie plików DEX
- mechanizmy antyemulacyjne
Taka warstwowa budowa utrudnia wykrycie i analizę malware, a jednocześnie daje atakującym elastyczność w dostosowywaniu końcowego ładunku do konkretnej kampanii.
Jak użytkownicy mogą się chronić
Użytkownicy kryptowalut powinni zachować szczególną ostrożność podczas instalowania aplikacji portfeli — nawet z oficjalnych sklepów.
Oto kilka dobrych praktyk:
Wskazówki dotyczące bezpieczeństwa
- Pobieraj aplikacje portfeli wyłącznie z oficjalnych stron producentów lub zweryfikowanych linków do sklepów
- Dokładnie sprawdzaj nazwę wydawcy, pisownię, opinie i elementy marki
- Nigdy nie wpisuj frazy seed na niespodziewanych ekranach ani w monitach weryfikacyjnych
- Unikaj instalowania aplikacji po podejrzanych przekierowaniach w przeglądarce
- Nie ufaj wiadomościom twierdzącym, że portfel jest „niedostępny w App Store” z powodów regulacyjnych
- Zachowaj ostrożność wobec aplikacji, które żądają nietypowych uprawnień lub kroków konfiguracji
Zasada krytyczna
Legalna aplikacja portfela nigdy nie powinna ot tak prosić Cię o podanie frazy odzyskiwania, chyba że świadomie odtwarzasz swój portfel.
Jeśli aplikacja niespodziewanie prosi o Twoją frazę mnemoniczną, od razu potraktuj to jako podejrzane.
Zalecenia dla firm i zespołów IT
Organizacje również powinny poważnie potraktować to zagrożenie, zwłaszcza jeśli pracownicy używają urządzeń mobilnych do obsługi finansów, kryptowalut lub dostępu uprzywilejowanego.
Zalecane mechanizmy kontroli obejmują:
- 📲 zarządzanie urządzeniami mobilnymi (MDM), gdzie to możliwe
- 🔍 monitorowanie podejrzanej aktywności aplikacji mobilnych
- 🌐 blokowanie znanych domen phishingowych
- 🎓 szkolenia uświadamiające dla użytkowników na temat kradzieży fraz seed i mobilnego phishingu
- 🔒 ograniczenia instalowania nieznanych profili aprowizacji lub profili korporacyjnych
Urządzenia mobilne są dziś częścią powierzchni ataku przedsiębiorstw, a kampanie takie jak FakeWallet dowodzą, że atakujący aktywnie wykorzystują zaufanie użytkowników do ekosystemów mobilnych.
Podsumowanie
Kampania FakeWallet to kolejne przypomnienie, że atakujący zawsze pójdą tam, gdzie spotykają się zaufanie i pieniądze.
W tym przypadku wykorzystali:
- zaufanie do znanych marek portfeli
- zaufanie do Apple App Store
- zaufanie do znajomo wyglądających interfejsów mobilnych
Najważniejsza lekcja jest prosta:
Twoja fraza odzyskiwania jest Twoim portfelem.
Jeśli zostanie skradziona, Twoje środki mogą przepaść bezpowrotnie.
Niezależnie od tego, czy używasz iPhone’a, czy Androida, zachowaj ostrożność, dokładnie weryfikuj każdą instalację portfela i nigdy nie udostępniaj fraz seed poza legalnymi procesami odzyskiwania portfela.
