Стилер сид‑фраз обнаружен в iOS‑версии FomoPeek
SlowMist обнаружила вредоносный стилер в iOS‑версии FomoPeek, перехватывающий сид‑фразы; инциденты зафиксированы у пользователей версий 1.1 и 1.2, были кражи активов.
Исследователи безопасности SlowMist обнаружили в iOS‑сборках приложения FomoPeek вредоносный стилер, который перехватывает сид‑фразы криптокошельков. В нескольких подтверждённых случаях злоумышленники получили доступ к приватным ключам и вывели средства с кошельков пользователей.
Анализ показал наличие постороннего кода и двух дополнительных модулей, не связанных с заявленными функциями приложения. Один из модулей включает фреймворки под названием DarkSword, где реализованы восемь методов атак. Механизм способен автоматически выбирать подходящую технику в зависимости от модели устройства и версии iOS.
По данным исследователей, атакующая функциональность включена в сборки приложения и запускается через периодические интервалы. В результате успешной эксплуатации приложению становится доступно выходить за пределы песочницы iOS, получать данные из Keychain, расшифровывать хранимые там секреты и читать файлы других приложений.
Заражённые сборки также устанавливают связь с удалёнными серверами, которые не относятся к публичной инфраструктуре FomoPeek, и способны принимать внешние команды от операторов.
Под угрозой оказались устройства на iOS с прошивками 12.0–18.7 и 26.0–26.1. В ряде подтверждённых инцидентов заражение фиксировалось у пользователей, которые устанавливали и продолжали использовать версии FomoPeek 1.1 и 1.2. Исследователи отмечают, что более уязвимы устройства на старых версиях iOS.
SlowMist рекомендует проверить счета на предмет подозрительных переводов и, при обнаружении компрометации, как можно скорее перевести активы на новый кошелёк, созданный на доверенном устройстве с новой сид‑фразой и приватным ключом. Также советуют обновить iOS до последней доступной версии, временно не переустанавливать приложение и обратиться в официальную поддержку платформы, сохранив устройство и все материалы, связанные с инцидентом, для расследования.
Инцидент напоминает случаи мошенничества с мобильными криптоприложениями: в апреле через фишинговое приложение, выдававшее себя за кошелёк Ledger, злоумышленники похитили $9,5 млн.
Материалы на GNcrypto предоставляются исключительно в информационных целях и не являются финансовой рекомендацией. Мы стремимся публиковать точные и актуальные данные, однако не можем гарантировать их абсолютную достоверность, полноту или надёжность. GNcrypto не несёт ответственности за возможные ошибки, упущения или финансовые потери, возникшие вследствие использования данной информации. Все действия вы совершаете на свой страх и риск. Всегда проводите собственный анализ и консультируйтесь с профессионалами. Подробнее см. в наших страницах Условия, Политика конфиденциальности и Отказ от ответственности.
Статьи этого автора
