Um arglose Nutzer zu täuschen, übernehmen die Apps die Symbole der Originale, tragen in ihren Namen aber bewusste Tippfehler wie „LeddgerNew". In anderen Fällen haben Name und Symbol gar keinen Bezug zu Kryptowährungen und dienen lediglich als Platzhalter: Sie sollen die Nutzer dazu bewegen, die offizielle Wallet-App über sie zu beziehen, mit der Behauptung, diese sei aus regulatorischen Gründen „im App Store nicht verfügbar".
Kaspersky identifizierte zudem mehrere ähnliche Apps, die vermutlich demselben Bedrohungsakteur zuzuordnen sind, deren schädliche Funktionen jedoch nicht aktiviert sind. Diese geben sich als harmlose Dienste aus – etwa als Spiel, Taschenrechner oder Aufgabenplaner. Nach dem Start öffnen sie eine Verknüpfung im Webbrowser und nutzen Enterprise-Bereitstellungsprofile, um die Wallet-App auf dem Gerät des Opfers zu installieren.
„Die Angreifer haben eine breite Palette schädlicher Module produziert, die jeweils auf eine bestimmte Wallet zugeschnitten sind", erklärte Puzan. In den meisten Fällen werde die Schadsoftware durch das Einschleusen einer bösartigen Bibliothek ausgeliefert; in einigen Varianten sei jedoch auch der ursprüngliche Quellcode der App verändert worden.
Das Ziel der Infektionen besteht darin, mnemonische Phrasen aus Hot- und Cold-Wallets aufzuspüren und an einen externen Server zu übertragen. So können die Betreiber die Kontrolle über die Wallets der Opfer übernehmen, Kryptowerte abziehen oder betrügerische Transaktionen anstoßen. Die Seed-Phrasen werden entweder abgefangen, indem der Code für die Eingabemaske der Wiederherstellungsphrase manipuliert wird, oder über eine Phishing-Seite erbeutet, die das Opfer im Rahmen eines vorgeblichen Verifizierungsschritts zur Eingabe auffordert.
Kaspersky vermutet, dass die Kampagne auf Bedrohungsakteure zurückgeht, die mit der SparkKitty-Trojaner-Kampagne des Vorjahres in Verbindung stehen. Dafür spreche, dass einige der infizierten Apps ein Modul mitbringen, das Wiederherstellungsphrasen mittels optischer Zeichenerkennung (OCR) stiehlt, und dass beide Kampagnen offenbar von chinesischen Muttersprachlern stammen und gezielt auf Kryptowerte abzielen.
Parallel dazu beleuchtet das Sicherheitsunternehmen Cyble ein Android-Framework namens MiningDropper (auch BeatBanker), das Kryptowährungs-Mining mit Informationsdiebstahl, Fernzugriff und Banking-Malware kombiniert. Im Rahmen einer BTMOB-RAT-Kampagne richtet es sich gegen Nutzer in Indien sowie in Lateinamerika, Europa und Asien. MiningDropper wird über eine trojanisierte Version des quelloffenen Android-Projekts Lumolight verbreitet; die Kampagnen nutzen gefälschte Websites, die Banken und regionale Verkehrsbehörden imitieren. Nach dem Start extrahiert die Software in mehreren Stufen den Miner und die Trojaner-Payloads aus einem verschlüsselten Archiv im Paket.
Laut Cyble setzt MiningDropper auf eine mehrstufige Architektur, die XOR-basierte native Verschleierung, AES-verschlüsseltes Zwischenlagern der Payloads, dynamisches DEX-Laden und Anti-Emulations-Techniken kombiniert. Diese Bauweise erschwere die statische Analyse und erlaube es den Angreifern, dasselbe Verteil- und Installationsgerüst über Hunderte von Varianten hinweg wiederzuverwenden und nur das jeweilige Monetarisierungsziel anzupassen.