Onderzoekers hebben in de Apple App Store en Google Play Store malafide apps ontdekt die afbeeldingen van de besmette telefoons stelen. Daarbij lijkt het de aanvallers te doen om screenshots met seed phrases van cryptowallets buit te maken. Dat meldt antivirusbedrijf Kaspersky in een analyse. Onderzoekers van de virusbestrijder vonden dertien malafide iOS-app en zestien malafide Android-apps, alsmede verschillende malafide iOS-frameworks en -libraries.

Zo troffen de onderzoekers in de Apple App Store een cryptogerelateerde app aan die foto's en andere afbeeldingen naar een server van de aanvallers stuurt. Hoeveel keer deze app is gedownload kunnen de onderzoekers niet zeggen. Kaspersky zegt dat het Apple over de app heeft ingelicht, maar die is op het moment van schrijven nog steeds in de App Store te vinden. Een soortgelijke malafide app in de Google Play Store telde meer dan tienduizend installaties.

Een tweede verspreidingsmethode die de onderzoekers ontdekten betrof het linken naar een nagemaakte Apple App Store. De betreffende site biedt gebruikers een getrojaniseerde versie van de TikTok-app aan. Deze malafide iOS-app wordt niet direct via de App Store aangeboden. Gebruikers moeten eerst een 'Enterprise profile' installeren. Dit is eigenlijk bedoeld voor organisaties die iOS-apps voor intern gebruik onder hun personeel willen uitrollen. Aanvallers maken hier echter ook gebruik van, aldus Kaspersky. Via het Enterprise profile wordt de getrojaniseerde TikTok-versie geïnstalleerd, die bij elk start gebruikers om toegang tot de foto gallery vraagt.

Naast cryptogerelateerde apps werd de malafide code ook in Chinese gok-apps en 'adult games' aangetroffen. Volgens Kaspersky zouden voornamelijk gebruikers in China en Zuidoost-Azië het doelwit zijn. Er zijn echter geen technische beperkingen om gebruikers in andere regio's aan te vallen, aldus de virusbestrijder. De onderzoekers vonden ook overlap met andere malafide apps die eerder dit jaar in de Apple App Store en Google Play Store werden aangetroffen en afbeeldingen met seed of recovery phrases van cryptowallets proberen te stelen. Via deze phrases, die uit een verzameling woorden bestaan, kan er toegang tot de cryptowallet worden verkregen. Sommige gebruikers maken bij het creëren van een seed phrase een screenshot hiervan. In april werd een malafide WhatsApp-versie voor Android gevonden die dit soort screenshots probeert te stelen.