Beim Öffnen leiten die Apps die Nutzer auf Phishing-Seiten weiter, die wie legitime Portale der jeweiligen Krypto-Dienste gestaltet sind. Dort werden die Opfer dazu gebracht, trojanisierte Wallet-Apps über sogenannte iOS-Provisioning-Profile herunterzuladen – eine eigentlich für Unternehmen vorgesehene Funktion, die hier missbraucht wird, um Schadsoftware auf die Geräte einzuschleusen. Dieselbe Technik beobachtete Kaspersky bereits bei SparkKitty.
Die manipulierten Apps enthalten zusätzlichen Code, der die mnemonischen Phrasen während der Einrichtung oder Wiederherstellung einer Wallet abfängt. Diese werden mit RSA und Base64 verschlüsselt und anschließend an die Angreifer übermittelt.
Bei Cold Wallets wie Ledger setzen die Täter dagegen auf Phishing-Aufforderungen innerhalb der App: Über gefälschte Sicherheitsüberprüfungen werden die Nutzer verleitet, ihre Seed-Phrasen manuell einzugeben. Da diese Phrasen ausschließlich dem rechtmäßigen Wallet-Inhaber vorliegen und für die Übertragung oder Wiederherstellung einer Wallet auf neue Geräte gedacht sind, erfordern sie keine weitere Bestätigung und kein Passwort. Mit ihnen können die Angreifer die Wallet eines Opfers auf eigenen Geräten wiederherstellen und vollständig leeren – ohne Möglichkeit, die Gelder zurückzuholen.
Nach Angaben von Kaspersky zielt die Kampagne in erster Linie auf Nutzer in China. Die Schadsoftware selbst kennt jedoch keine geografischen Beschränkungen und könnte daher weltweit Nutzer treffen, falls die Betreiber ihren Wirkungskreis ausweiten.
Krypto-Besitzern wird geraten, auch bei Apps aus offiziellen Stores den Herausgeber genau zu prüfen und ausschließlich die auf der offiziellen Website angegebenen Links zu nutzen.
In diesem Zusammenhang wurde kürzlich bekannt, dass eine betrügerische Ledger-App, die es in den Apple App Store geschafft hatte, 50 macOS-Nutzern Kryptowährungen im Wert von 9,5 Millionen US-Dollar entwendete.
BleepingComputer hat Apple mit Fragen dazu kontaktiert, wie der Angreifer die Überprüfungen des App Store umgehen konnte, bis zum Redaktionsschluss jedoch keine Antwort erhalten.