Kaspersky Lab ha descubierto versiones infectadas de aplicaciones populares para iPhone, que se distribuían a través de un canal de Telegram en ruso. Se incrustó un módulo malicioso en los programas modificados, capaz de recopilar información del dispositivo, determinar la ubicación y tomar capturas de pantalla.

Bajo el pretexto de versiones mejoradas, se ofrecían a los usuarios aplicaciones sin publicidad, con funciones de pago desbloqueadas o no disponibles en la tienda oficial. Para la instalación, era necesario descargar un archivo IPA y firmarlo con un certificado de desarrollador a través de herramientas de terceros como eSign o Scarlet. El programa también se podía ejecutar desde una computadora o en un dispositivo con jailbreak.

Mientras la aplicación infectada está abierta, el malware obtiene el nombre del dispositivo, el nivel de batería, la configuración regional, los datos de memoria, el operador y la presencia de jailbreak. La información recopilada y las capturas de pantalla se envían luego a los atacantes.

Sin embargo, el módulo no puede monitorear continuamente al propietario del iPhone: después de cerrar el programa, deja de funcionar en segundo plano. Pero incluso un breve inicio puede ser suficiente para interceptar información sensible que aparece en la pantalla.

Los expertos aconsejan instalar aplicaciones solo de fuentes oficiales o recomendadas por el desarrollador. Algunos programas del canal de Telegram descubierto no contenían código malicioso, pero dirigían a los usuarios a donde se distribuían las versiones infectadas.