تیم‌های امنیتی SlowMist و OKX اخیراً یک کمپین هدفمند و پیچیده را شناسایی کردند که از طریق اپلیکیشن FomoPeek در App Store رسمی اپل توزیع شده است. این اپلیکیشن که در ظاهر یک ابزار نظارتی روی زنجیره (On-chain Monitoring) بود، در واقع یک بدافزار پیشرفته برای هدف قرار دادن کاربران ارزهای دیجیتال و سرقت دارایی‌های آن‌هاست.
تحلیل فنی و مکانیزم توزیع
بررسی‌ها نشان می‌دهد نسخه‌های 1.1 و 1.2 این اپلیکیشن حاوی دو ماژول مخرب به نام‌های apptrace و libapptracecore بوده‌اند. نکته تکان‌دهنده این است که این کدها در نسخه‌های رسمی تایید شده توسط App Store قرار داشتند و نه از طریق sideload یا نسخه‌های تغییر یافته. مهاجمان برای جذب قربانیان از طریق KOLهای حوزه کریپتو و سیستم‌های ارجاع (Referral) عمل کرده و کاربرانی را که 5 تا 7 دقیقه از اپلیکیشن استفاده می‌کردند، با پرداخت مبالغ اندکی USDT ترغیب به نصب می‌کردند.
زنجیره حمله و اکسپلویت کرنل (Kernel Exploit)
این بدافزار از یک استراتژی حمله پیشرفته به نام CicutaVirosaStrategy استفاده می‌کند که قادر است روی طیف گسترده‌ای از نسخه‌های iOS (از 12.0 تا 18.7.2 و حتی نسخه‌های آینده‌تر) اجرا شود. مراحل فنی حمله به شرح زیر است:
- ارتباط با C2: اپلیکیشن ابتدا یک آدرس رمزنگاری شده از Bitbucket (به عنوان Dead Drop) دریافت کرده و سپس با سرور فرمانده (C2) ارتباط برقرار می‌کند.
- شناسایی دستگاه: لیست تمامی اپلیکیشن‌های نصب شده روی دستگاه قربانی استخراج و برای مهاجم ارسال می‌شود تا اهداف مورد نظر شناسایی شوند.
- ارتقای سطح دسترسی: با استفاده از 8 استراتژی مختلف اکسپلویت کرنل، بدافزار دسترسی
tfp0را به دست آورده و از Sandbox اپلیکیشن فرار می‌کند. - رمزگشایی Keychain: پس از فرار از Sandbox، بدافزار به دیتابیس Keychain دسترسی پیدا کرده و کلیدهای خصوصی و داده‌های حساس را استخراج می‌کند.
هدف قرار دادن کیف پول‌ها و داده‌های حساس
پس از فعال شدن سوئیچ‌های حمله از طریق سرور C2، بدافزار اقدام به جمع‌آوری داده‌ها از 19 اپلیکیشن مختلف می‌کند. این لیست عمدتاً شامل کیف پول‌های معروفی نظیر MetaMask، Trust Wallet، OKX Wallet و imToken است. همچنین، تمامی محتویات Apple Notes (که بسیاری از کاربران Seed Phrase خود را در آن ذخیره می‌کنند) را در قالب یک فایل ZIP فشرده کرده و به سرور مهاجم ارسال می‌کند.
جمع‌بندی زنجیره حمله
بارگذاری ماژول → دریافت C2 از Bitbucket → شناسایی اپلیکیشن‌های نصب شده → اجرای Kernel Exploit → فرار از Sandbox → استخراج داده‌های Keychain و Notes → ارسال داده‌ها به سرور.
