iPhone-app bevat aanvalscode in officiële App Store
Gevolgd adres ontving bijna 580.000 USDT
De officiële iPhone-app FomoPeek bevatte van 9 tot 17 september aanvalscode; één gevolgd adres ontving bijna 580.000 USDT. Beveiligingsonderzoeker SlowMist koppelt dat adres aan de aanvaller. Het bedrag is de instroom op dat adres, terwijl de totale schade onbekend blijft.
SlowMist onderzocht met het beveiligingsteam van cryptobeurs OKX oude installatiebestanden uit de App Store. Versie 1.0 bevatte de twee modules niet. Versie 1.1 kreeg op 9 september twee kwaadaardige modules, versie 1.2 behield ze en versie 1.3 verwijderde ze op 17 september. De app en de toegevoegde onderdelen droegen dezelfde digitale handtekening van technologiebedrijf Apple en behielden kenmerken van Apples kopieerbeveiliging. Volgens de onderzoekers waren dit daardoor officiële App Store-versies.
Code zocht wallets en notities
De ene module communiceerde met de server van de aanvaller. De andere bevatte acht methoden om diep in iOS door te dringen, meer rechten te krijgen en uit de afgeschermde omgeving van de app te ontsnappen. Daarna kon de code sleutels ontsleutelen en gegevens verzamelen.
De app meldde apparaatgegevens en geïnstalleerde apps aan een server. Die stuurde op afstand instellingen terug, waaronder een lijst van negentien doelen. Vrijwel alle doelen waren wallet- en notitie-apps, zoals MetaMask, Trust Wallet, OKX Wallet en SafePal. Ook de volledige opslag van Apple Notes stond op de lijst. SlowMist onderschepte in een geïsoleerde test hoe de app die database inpakte en uploadde.
Tijdens die test stond de aanval op de live server uit. De onderzoekers moesten de schakelaar lokaal aanzetten om het vervolg te controleren. SlowMists bewijs beperkte zich daarmee tot de technische keten. Nieuwssites TechFlow en Crypto Times beschreven de functie als actief of periodiek, zonder aanvullend technisch bewijs te tonen.
Adres ontving bijna 580.000 USDT
SlowMist zag het gevolgde adres vanaf 15 september actief worden. Het ontving in totaal bijna 580.000 USDT via Ethereum, BNB Chain en Arbitrum. Delen gingen naar onder meer cryptobeurs KuCoin, wisseldiensten en routes naar het TRON-netwerk.
Het beveiligingsbedrijf zegt meerdere meldingen van gestolen gebruikersvermogen te hebben gekregen. Bij de onderzochte incidenten waren volgens SlowMist privésleutels blootgesteld en enkele betrokkenen zouden FomoPeek 1.1 of 1.2 hebben gebruikt. SlowMist publiceerde geen bevestigd aantal slachtoffers, schadebedragen per persoon of totaal verlies.
De aanvalscode vermeldde ondersteuning voor iOS 12.0 tot en met 18.7.2 en voor 26.0 tot en met 26.1. FomoPeek zelf vereiste volgens de App Store minimaal iOS 16.0, waardoor het werkelijke installatiebereik kleiner was. TechFlow en Crypto Times rondden de bovengrens af op iOS 18.7 en lieten die installatie-eis weg.
In de App Store stonden volgens SlowMist WhaleScanv als ontwikkelaar en Porter Manufacturing, L.L.C. als verkoper. SlowMist kon niet vaststellen wie de app werkelijk exploiteerde.
Voor wie het op de blockchain wil naslaan: SlowMist merkt 0x6d37f2C5e8F8546b648D317295565dA95975f4BB aan als het primaire aanvallersadres.