FakeWallet: Aplicaciones falsas en la App Store de Apple roban frases semilla de criptomonedas

Expertos en ciberseguridad han identificado un grupo de aplicaciones fraudulentas en la App Store de Apple que imitan carteras digitales populares para robar frases de recuperación y claves privadas de usuarios desde al menos otoño de 2025.

"Tras su instalación, estas apps redirigen a los usuarios a sitios web falsos que simulan la App Store, distribuyendo versiones modificadas de monederos legítimos", explicó Sergey Puzan, investigador de Kaspersky. El malware está diseñado para capturar frases semilla y claves privadas sin que la víctima lo note.

Las 26 aplicaciones, agrupadas bajo el nombre FakeWallet, suplantan servicios como Bitpie, Coinbase, imToken, Ledger, MetaMask, TokenPocket y Trust Wallet. Apple ya ha retirado la mayoría tras su detección, y no hay registros de que hayan estado disponibles en Google Play Store.

A diferencia de campañas anteriores que usaban perfiles de aprovisionamiento de iOS, este ataque representa un avance significativo: las apps maliciosas se descargaban directamente desde la App Store oficial, siempre que el usuario tuviera su cuenta configurada para China.

Los ciberdelincuentes emplearon tácticas engañosas, como iconos similares a los originales pero con errores ortográficos intencionales (ejemplo: LeddgerNew). Algunas apps no guardaban relación con criptomonedas, sino que redirigían a los usuarios a descargar versiones oficiales bajo excusas regulatorias.

Kaspersky también detectó apps vinculadas al mismo actor que, aunque no activaban funciones maliciosas de inmediato, imitaban servicios inocuos (juegos o calculadoras) para luego instalar el malware mediante perfiles empresariales.

"Los atacantes desarrollaron módulos específicos para cada cartera, inyectando bibliotecas maliciosas o modificando el código fuente original". El objetivo final es robar frases mnemotécnicas de monederos activos e inactivos, enviándolas a servidores controlados por los delincuentes para vaciar las cuentas.

Las frases semilla se obtienen mediante interceptación de pantallas de ingreso o páginas de phishing que solicitan la frase bajo pretextos de verificación.

Se sospecha que esta campaña está relacionada con el troyano SparkKitty, ya que algunas apps incluyen módulos de reconocimiento óptico de caracteres (OCR) para robar frases, y ambas operaciones parecen dirigidas por hablantes de chino con enfoque en criptomonedas.

"FakeWallet evoluciona con tácticas más sofisticadas, desde apps de phishing en la App Store hasta notificaciones falsas que engañan a los usuarios para revelar sus contraseñas", advirtió Kaspersky.

Nuevo malware para Android: MiningDropper

Este hallazgo coincide con el descubrimiento de MiningDropper, un marco de malware para Android que combina minería de criptomonedas, robo de datos y acceso remoto. La campaña, llamada BTMOB RAT, afecta a usuarios en India, Latinoamérica, Europa y Asia.

MiningDropper se distribuye mediante versiones troyanizadas de Lumolight, una app de código abierto, y a través de sitios web falsos que imitan bancos o instituciones de transporte. Al ejecutarse, activa un proceso de múltiples etapas para instalar el malware desde archivos cifrados.

"MiningDropper usa técnicas avanzadas como cifrado AES, carga dinámica de código y antiemulación para evadir detecciones", detalló Cyble. Su arquitectura modular permite a los ciberdelincuentes adaptar el malware a distintos objetivos de monetización.

Fuente: THN