Die Sicherheitsexperten von Kaspersky haben eine groß angelegte Phishing-Kampagne dokumentiert, die gezielt auf Kryptowallet-Nutzer abzielt. Insgesamt identifizierten die Forscher 26 bösartige Applikationen, die bekannte Wallet-Provider wie Bitpie, Coinbase, imToken, Ledger, MetaMask, TokenPocket und Trust Wallet nachahmen.
Die Angreifer nutzten dabei mehrere Techniken, um Nutzer zum Download zu bewegen. Neben klassischem Typosquatting – also der Verwendung ähnlicher Namen und Symbole – zeigten einige Apps auch Werbebanner, die behaupteten, den Zugang zu offiziellen Wallets zu ermöglichen, die ansonsten nicht im App Store verfügbar seien. Dies ist besonders im chinesischen App Store ein großes Problem, wo regulatorische Maßnahmen viele legitime Kryptoanwendungen blockiert haben.
Die technische Analyse offenbarte ein ausgefeiltes Angriffsmuster: Die gefälschten Apps waren darauf ausgelegt, Benutzer auf manipulierte Websites zu leiten oder direkt Malware-Code auszuführen. In den meisten Fällen wurde der bösartige Code über externe Bibliotheken eingebunden, teilweise aber auch direkt in den Quellcode integriert. Die Malware enthielt Funktionen zum Diebstahl von Recovery Phrases und Seed Phrases – den kritischen Daten, mit denen Wallets wiederhergestellt werden können.
Besonders bemerkenswert: Kaspersky entdeckte auch spezielle Module, die auf Hardware-Wallets wie Ledger abzielen. Die Angreifer betrieben sogar eine Website, die der offiziellen Ledger-Seite ähnelt und Links zu den bösartigen Apps verbreitete.
Obwohl die Kampagne primär auf chinesischsprachige Nutzer fokussiert, enthalten die Malware-Module keine geografischen Beschränkungen. Einige Phishing-Nachrichten passten sich sogar an die Sprache der jeweiligen App an – ein Zeichen dafür, dass auch Nutzer in Europa und Deutschland potenziell gefährdet sein könnten.
Die Verbindung zu früheren Angriffen ist dabei aufschlussreich: Kaspersky verknüpft FakeWallet mit der SparkKitty-Malware, die bereits im Juni 2024 aufgedeckt wurde. Gemeinsame Merkmale sind die Distributionstechniken, der Fokus auf Kryptowährungen und chinesische Log-Einträge im Code.
Apple wurde von Kaspersky informiert und hat bereits begonnen, die bösartigen Apps aus dem Store zu entfernen. Dies unterstreicht einmal mehr, dass auch der strenger kuratierte Apple App Store vor gezielten Malware-Kampagnen nicht völlig sicher ist. Nutzer sollten beim Download von Wallet-Apps besondere Vorsicht walten lassen und die Authentizität durch die offiziellen Websites der Anbieter überprüfen.