Исследователи предупреждают о необычной схеме распространения малвари для iOS. Злоумышленники публикуют в русскоязычном Telegram-канале модифицированные версии популярных приложений и предлагают пользователям установить их в обход App Store. В некоторые приложения встроен вредоносный модуль, который собирает данные об устройстве, отслеживает геолокацию и делает снимки экрана.

По информации специалистов «Лаборатории Касперского», атакующие модифицируют настоящие приложения, внедряя в них малварь. Так, среди обнаруженных зараженных образцов были модифицированные версии неназванных приложений онлайн-площадки для продажи товаров, фоторедактора и сервиса для просмотра видео.

При этом не все модифицированные программы оказались вредоносными: часть из них просто рекламировала Telegram-канал мошенников, через который распространялись зараженные приложения.

В своем Telegram-канале злоумышленники публикуют IPA-файлы, а затем предлагают пользователям приобрести у них сертификат разработчика. Такой сертификат можно импортировать в сторонние инструменты, например, eSign или Scarlet, подписать приложение и установить его на iPhone через приватные механизмы iOS.

Также установить приложение на устройство Apple можно и без покупки сертификата — например, с компьютера или на устройство с джейлбрейком, позволяющим вносить изменения в систему в обход защитных функций.

После запуска зараженного приложения встроенный в него модуль собирает имя устройства, уровень заряда батареи, региональные настройки, сведения о памяти и наличии джейлбрейка. Также малварь получает данные о геолокации жертвы, код мобильного оператора, может делать снимки экрана, а затем передает всю собранную информацию своим операторам.

Подчеркивается, что возможности такой малвари ограничены особенностями iOS. В частности, вредоносный модуль не может постоянно работать в фоновом режиме, поэтому после закрытия зараженного приложения слежка за пользователем и сбор данных прекращаются.

По словам эксперта «Лаборатории Касперского» Сергея Пузана, пользователи нередко обращаются к сторонним источникам ради получения модифицированных версий приложений без рекламы, для разблокировки платных функций или установки программ, которых нет в официальных магазинах. Именно этим и пользуются атакующие. Специалист напоминает, что устанавливать приложения стоит только из доверенных источников, а если нужной программы нет в официальном магазине, способ ее установки лучше уточнить на сайте разработчика.