برنامه رمزنگاری آیفون کد مخرب را به عنوان کیف پول مهاجم 580 هزار دلار پنهان می کند

چگونه FomoPeek با کد مخرب به اپ استور رسید

افرادی که FomoPeek را برای نظارت بر کیف پول های رمزنگاری شده نصب کرده اند ممکن است داده های ذخیره شده در سایر برنامه های آیفون را در معرض دید قرار داده باشند. در یک تجزیه و تحلیل اطلاعات تهدید شرکت امنیتی بلاک چین SlowMist که در 20 سپتامبر منتشر شد، گزارش داد که ماژول های مخربی را در نسخه های 1.1 و 1.2 پیدا کرده است که از طریق فروشگاه App Apple توزیع شده اند.

FomoPeek خود را به عنوان یک ابزار نظارت و هشدار فقط خواندنی در زنجیره معرفی کرد که نیازی به اتصال کیف پول یا ارائه یک عبارت اولیه از کاربران نداشت. به گفته SlowMist، این توضیحات کدی را پنهان می کرد که قادر به دور زدن حفاظت های امنیتی آیفون، جمع آوری اطلاعات از برنامه های دیگر و ارسال آن به یک سرور راه دور است. این شرکت و تیم امنیتی OKX پس از دریافت گزارش‌هایی مبنی بر دارایی‌های دزدیده شده و افشای کلیدهای خصوصی، تحقیق کردند.

برای تعیین اینکه کدام دانلودها حاوی کد هستند، محققان نسخه‌های نسخه‌های منتشر شده فروشگاه App FomoPeek را با هم مقایسه کردند. برنامه و دو ماژول مخرب توسط همان هویت توسعه دهنده اپل امضا شده بودند و فایل های دانلود شده سوابق رمزگذاری فروشگاه App را حفظ کردند. این شواهد، ماژول‌ها را در داخل اپلیکیشن توزیع شده رسمی قرار می‌دهند، نه در نسخه‌ای که پس از دانلود تغییر می‌یابد.

SlowMist همچنین وجوهی را به کیف پولی که به عنوان آدرس اصلی مهاجم شناسایی کرده بود، ردیابی کرد. این آدرس در 15 سپتامبر فعال شد و 579,984.34 USDT در چندین شبکه بلاک چین دریافت کرد، در حالی که زمانی که SlowMist گزارش خود را منتشر کرد، منابع مالی همچنان در جریان بود. بازرسان نقل و انتقالات را از طریق مبادله و آدرس های دیگر دنبال کردند. این مبلغ کل رسیدهای کیف است، نه آمار تایید شده رمزارزهای سرقت شده از طریق FomoPeek.

آنچه محققان هنگام آزمایش برنامه دیدند

سپس SlowMist نحوه عملکرد ماژول های مخفی را بررسی کرد. یکی یک آدرس سرور رمزگذاری شده را از Bitbucket بازیابی کرد، اطلاعاتی درباره آیفون ارسال کرد و دستورالعمل‌هایی را درخواست کرد. سرور می‌تواند داده‌ها را برای جمع‌آوری انتخاب کند و کنترل کند که آیا برنامه تلاش می‌کند از دستگاه سوءاستفاده کند.

در طول آزمایش مشاهده شده، سرور بهره برداری خاموش شده بود. محققان آن را در یک محیط ایزوله فعال کردند تا مراحل باقی مانده را بررسی کنند. سپس این برنامه لیستی را دریافت کرد که 19 برنامه کیف پول و یادداشت برداری را هدف قرار می داد. محققان یک بارگذاری از محفظه داده Apple Notes را ضبط کردند، ترافیک شبکه را رمزگشایی کردند و بایگانی ارسال شده از دستگاه آزمایشی را بازسازی کردند. این یافته‌ها نشان می‌دهند که کد هنگام فعال شدن چه کاری می‌تواند انجام دهد. آنها مشخص نمی کنند که چه داده هایی از تلفن های دیگر کاربران جمع آوری شده است.

کد این برنامه شامل یک استراتژی بهره برداری به نام DarkSwordStrategy بود که نام خود را با DarkSword، یک زنجیره بهره برداری iOS که توسط گروه اطلاعاتی تهدید گوگل در ماه مارس

تهدید برای کیف پول های رمزنگاری مستقیم است: مهاجمی که یک کلید خصوصی یا عبارت بازیابی به دست می آورد می تواند به دارایی های کنترل شده توسط آن دسترسی داشته باشد. گزارش قبلی در DarkSword هشدار SlowMist را توضیح داد که مهاجمان می توانند از سوء استفاده های iOS برای دستیابی به کلیدهای خصوصی استفاده کنند. FomoPeek نگرانی دیگری را با حمل ماژول های مخرب خود در نسخه های رسمی فروشگاه App اضافه کرد.

نسخه های تحت تأثیر و خطر کیف پول های موجود

SlowMist ماژول‌ها را در FomoPeek نسخه 1.1، منتشر شده در 9 سپتامبر، و نسخه 1.2، منتشر شده در 12 سپتامبر پیدا کرد. آنها از نسخه 1.0 غایب بودند و در نسخه 1.3 در 17 سپتامبر حذف شدند. هرکسی که از هر یک از نسخه‌های آسیب‌دیده استفاده می‌کند، ممکن است پس از حذف یا به‌روزرسانی مجدد برنامه با حذف مجدد، همچنان با قرار گرفتن در معرض مواجه شود.

سایر دانلودهای تقلبی اپ استور از طریق روش های مختلف، دارایی های رمزنگاری را در معرض خطر قرار داده است. در ماه ژوئیه، سه سرمایه‌گذار پس از وارد کردن عبارات بازیابی خود، از یک برنامه جعلی Sparrow Wallet متحمل ضرر شدند. در آن صورت، کاربران اطلاعات را مستقیماً ارائه می کردند. کد مخفی FomoPeek برای جمع آوری داده های فراتر از برنامه خود طراحی شده است.

یک محقق همچنین یک برنامه جعلی لجر را به سرقت های رمزنگاری گزارش شده در ماه آوریل مرتبط کرد. هر دو پرونده لجر و اسپارو شامل برنامه های کیف پول تقلبی بودند. به نظر می رسید FomoPeek یک ابزار نظارتی باشد، بنابراین کاربران آن هیچ دلیل مشخصی نداشتند که انتظار داشته باشند به اطلاعات خصوصی موجود در جاهای دیگر گوشی هایشان دسترسی داشته باشند.

SlowMist به کاربران نسخه های 1.1 و 1.2 FomoPeek توصیه کرد که عبارات اولیه، کلیدهای خصوصی و اطلاعات کاربری حساس ذخیره شده در آن دستگاه ها را به عنوان به طور بالقوه در معرض خطر قرار دهند. در حالی که سردخانه کلیدها را آفلاین نگه می دارد، توصیه فوری این شرکت ایجاد یک کیف پول جدید بر روی یک دستگاه ایمن بود که هرگز برنامه آسیب‌دیده را اجرا نمی‌کرد و دارایی‌ها را از کیف‌هایی که ممکن است کلیدهای آنها در معرض دید قرار گرفته باشد، منتقل کند.