Nach Angaben von Kaspersky zielt die FakeWallet-Kampagne darauf ab, Wiederherstellungs- und Seed-Phrasen sowie private Schlüssel abzugreifen. Weil zahlreiche offizielle Wallet-Apps für Nutzer in China aufgrund von Beschränkungen nicht erhältlich sind, kopieren die Täter deren Namen und Icons. Über Typosquatting sollen Anwender dazu gebracht werden, die gefälschten Programme für die echte Software zu halten.
Ein Teil der Apps verzichtete sogar auf krypto-typische Namen oder Symbole. Stattdessen zeigten sie Banner, die Nutzer zum Download lockten, um angeblich Zugang zu offiziellen, im App Store nicht verfügbaren Wallets zu erhalten. Daneben fand das Unternehmen weitere Anwendungen ohne Phishing-Funktion, die jedoch demselben Akteur zuzuordnen waren. Laut Kaspersky sei es „höchst wahrscheinlich, dass die schädlichen Funktionen lediglich darauf warteten, in einem künftigen Update aktiviert zu werden".
Die Phishing-Apps öffneten typischerweise einen Link im Browser, um Nutzer zur Installation infizierter Wallet-Versionen zu verleiten. Der Schadcode wurde meist über Bibliotheken eingeschleust, in einigen Fällen aber direkt in den Quellcode der Wallet eingefügt. Eine Code-Analyse offenbarte Funktionen, die Wiederherstellungs- und Seed-Phrasen sammeln und jene Methoden manipulieren, die eine App beim Wiederherstellen sogenannter Hot Wallets aufruft. Zusätzlich nahmen die Anwendungen über zwei Ledger-Implantate auch Cold Wallets ins Visier.
Kaspersky identifizierte zudem eine Website, die die offizielle Ledger-Seite nachahmte und Links zu diesen Apps bereithielt, sowie kompromittierte Wallet-Apps für Android. Letztere wurden über chinesischsprachige Phishing-Seiten verbreitet, nicht über den Play Store.
Obwohl die Apps offenbar auf chinesischsprachige Nutzer abzielen, enthalten die schädlichen Module dem Unternehmen zufolge keine eingebauten regionalen Beschränkungen. Einige Phishing-Benachrichtigungen passten sich zudem an die Sprache der App an, weshalb auch Nutzer außerhalb Chinas betroffen sein könnten.
Den Verantwortlichen hinter FakeWallet bringt Kaspersky mit der im Juni des vergangenen Jahres entdeckten Schadsoftware SparkKitty in Verbindung. Dafür sprechen die Verbreitungstechnik, der Fokus auf Krypto-Wallets, chinesischsprachige Log-Meldungen in den schädlichen Modulen sowie das Vorhandensein von SparkKitty-Modulen in einigen Anwendungen.