Campanha de phishing em aplicativos iOS
Em março de 2026, pesquisadores descobriram mais de vinte aplicativos de phishing na Apple App Store que se disfarçavam de carteiras de criptomoedas populares. Uma vez lançados, esses aplicativos redirecionam os usuários para páginas de navegador projetadas para parecer semelhantes à App Store e distribuir versões trojanizadas de carteiras legítimas. Os aplicativos infectados são especificamente projetados para sequestrar frases de recuperação e chaves privadas.
Os metadados do malware sugerem que esta campanha tem passado despercebida desde pelo menos o outono de 2025. A campanha FakeWallet está ganhando impulso empregando novas táticas, desde a entrega de payloads via aplicativos de phishing publicados na App Store até a incorporação em aplicativos de carteiras frias e o uso de notificações de phishing sofisticadas para enganar os usuários a revelarem suas mnemônicas.
Técnicas de distribuição e injeção
Os atacantes lançaram aplicativos falsos usando ícones que espelham os originais e nomes com erros intencionais – uma tática conhecida como typosquatting – para contornar os filtros da App Store e aumentar suas chances de enganar os usuários. Durante nossa investigação, identificamos 26 aplicativos de phishing na App Store imitando as seguintes carteiras principais: MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken e Bitpie.
Os aplicativos de phishing apresentavam stubs – placeholders funcionais que imitavam um serviço legítimo – projetados para fazer o aplicativo parecer autêntico. O stub poderia ser um jogo, uma calculadora ou um planejador de tarefas. No entanto, uma vez que você lançava o aplicativo, ele abriria um link malicioso no seu navegador. Este link inicia um esquema que aproveita perfis de provisionamento para instalar versões infectadas de carteiras de criptomoedas no dispositivo da vítima.
Exfiltração de dados e C2
Os atacantes injetaram comandos de carga no executável principal. Uma vez que a biblioteca é carregada, o linkador dyld dispara funções de inicialização, se presentes na biblioteca. A lógica permanece a mesma em todas as funções de inicialização: o aplicativo carrega ou inicializa sua configuração, se disponível, e depois substitui métodos de classe legítimos por versões maliciosas.
O método viewDidLoad comprometido funciona escaneando a tela no controlador de visualização atual para caçar mnemônicos – as palavras individuais que compõem a frase semente. Uma vez que os encontra, ele extrai os dados, criptografa e envia de volta para um servidor C2. Os módulos maliciosos seguem um processo específico para exfiltração de dados: os mnemônicos extraídos são concatenados, criptografados usando RSA com o esquema PKCS #1, codificados em Base64 e enviados ao servidor dos atacantes.
Impacto e recomendações para usuários
Embora a campanha não seja excepcionalmente complexa do ponto de vista técnico, ela representa sérios riscos para os usuários por várias razões. Ataques a carteiras quentes podem roubar ativos de criptomoedas durante a fase de criação ou importação da carteira sem interação adicional do usuário. Ataques a carteiras frias exigem que os atacantes façam grandes esforços para fazer suas janelas de phishing parecerem legítimas, implementando até mesmo autocompletar de mnemônicos para espelhar a experiência real do usuário.
Os usuários devem verificar a autenticidade dos aplicativos antes de instalar, preferencialmente baixando diretamente dos sites oficiais das carteiras. A verificação de assinaturas de aplicativos e a desconfiança de aplicativos que solicitam permissões excessivas são medidas essenciais para mitigar o risco de infecção por malware FakeWallet.