Kwaadaardige iPhone-app steelt $580.000 aan crypto

Een kwaadaardige iPhone-app die via de officiële App Store werd verspreid, wordt in verband gebracht met de diefstal van honderdduizenden dollars aan crypto. De app, FomoPeek, wist volgens beveiligingsonderzoekers meerdere beveiligingslagen van iOS te omzeilen en toegang te krijgen tot gevoelige gegevens op iPhones.

Beveiligingsbedrijf SlowMist onderzocht de app samen met het beveiligingsteam van cryptobeurs OKX, nadat meerdere gebruikers hadden gemeld dat crypto uit hun wallets was verdwenen. De onderzoekers brachten uiteindelijk een walletadres in kaart dat bijna 580.000 USDT had ontvangen.

FomoPeek omzeilde beveiliging van iPhones

Volgens SlowMist bevatte FomoPeek twee kwaadaardige onderdelen die misbruik maakten van kwetsbaarheden in iOS. Daarmee kon de app buiten de afgeschermde omgeving komen waarin iPhone-apps normaal gesproken draaien.

Dat gaf de aanvallers volgens de onderzoekers toegang tot gevoelige onderdelen van het toestel. Zo konden zij gegevens uit Apple Keychain uitlezen, waarin onder meer wachtwoorden en andere beveiligde informatie kunnen worden opgeslagen. Ook zouden bestanden van andere apps toegankelijk zijn geweest.

Voor cryptobezitters kan dat grote gevolgen hebben. Als gevoelige gegevens van een crypto wallet op het toestel terechtkomen en door een aanvaller kunnen worden uitgelezen, kunnen daarmee mogelijk cryptomunten worden buitgemaakt.

SlowMist ontdekte in totaal acht verschillende aanvalsmethoden in FomoPeek. Volgens de onderzoekers werkten deze op iOS-versies 12.0 tot en met 18.7.2 en 26.0 tot en met 26.1.

Kwaadaardige versies verschenen in App Store

Het onderzoek begon nadat meerdere slachtoffers meldden dat cryptomunten uit hun wallets waren verdwenen. Zij bleken allemaal een getroffen versie van FomoPeek op hun iPhone te hebben geïnstalleerd.

De kwaadaardige versies verschenen op 9 en 12 september in de App Store. Op 17 september werd versie 1.3 uitgebracht. Daarin waren de schadelijke onderdelen volgens de onderzoekers verwijderd.

De aanval was toen echter al uitgevoerd. Uit blockchainanalyse kwam een walletadres naar voren dat in totaal 579.984 USDT had ontvangen, met een waarde van ongeveer 580.000 dollar.

Het adres werd op 15 september actief. Vervolgens verspreidden de aanvallers de tegoeden snel over verschillende blockchains en walletadressen. Daarmee werd het lastiger om de geldstromen verder te volgen.

Gestolen crypto naar meerdere diensten verstuurd

Een deel van de USDT werd volgens de onderzoekers doorgestuurd naar verschillende cryptodiensten, waaronder FixedFloat, KuCoin en cce.cash.

SlowMist en OKX proberen de transacties verder in kaart te brengen en te achterhalen waar de resterende cryptomunten terecht zijn gekomen. Het onderzoek naar de geldstromen loopt nog.