FakeWallet Malware : 26 Applications Malveillantes iOS

Ce qui s'est passé

Les chercheurs de Kaspersky ont dévoilé une analyse détaillée d'un vaste dispositif de vol de cryptomonnaies hébergé directement sur l'App Store d'Apple, longtemps considéré comme un environnement hermétique. Au total, 26 applications malveillantes, regroupées sous l'appellation FakeWallet, ont été publiées sous des noms trompeurs imitant les portefeuilles les plus populaires du marché — Metamask, Coinbase, Trust Wallet, OneKey ou encore Ledger. Les opérateurs s'appuient sur le typosquatting, des identités graphiques minutieusement clonées et des descriptions crédibles pour tromper la vigilance des utilisateurs comme celle des équipes de validation. Une fois installées, ces applications réclament la phrase de récupération de la victime, ouvrant un accès immédiat et irréversible à ses fonds. La campagne fakewallet app store crypto illustre une évolution préoccupante : les acteurs malveillants ne se contentent plus du sideloading, ils s'installent au cœur des boutiques officielles.

Pour contourner les restrictions visant les applications crypto en Chine, les opérateurs ont soumis leurs bundles à la validation d'Apple en les déguisant en jeux, calculatrices ou utilitaires anodins. Une fois lancées, ces apps redirigent silencieusement l'utilisateur vers des pages de phishing imitant les portails officiels, où il est invité à valider sa « sécurité » en saisissant sa phrase de récupération.

Pour les wallets froids comme Ledger, FakeWallet mise sur des écrans de « vérification de sécurité » factices poussant l'utilisateur à taper manuellement ses 12 ou 24 mots. Une fois la seed entre les mains des attaquants, le wallet peut être restauré sur n'importe quel appareil et vidé sans mot de passe additionnel : il n'existe aucune possibilité de récupération des fonds. Kaspersky rattache cette campagne à SparkKitty, un mouvement actif depuis la fin 2025.

Pourquoi c'est important

L'infiltration de 26 applications dans le « jardin clos » d'Apple est un coup dur pour la communication de sécurité de Cupertino, qui met régulièrement en avant la rigueur de son processus de revue. C'est aussi une illustration pratique de la limite des App Stores officiels face à des acteurs capables de tromper les reviewers avec des fonctionnalités masquées et du cloaking géographique.

Pour les entreprises qui autorisent les applications financières personnelles sur les terminaux BYOD, l'épisode confirme qu'il faut s'appuyer sur du MDM avec allowlist stricte et une veille sur les marques imitées plutôt que sur la simple confiance dans la validation Apple. Cette campagne rejoint une série récente d'attaques supply chain côté npm et confirme que les acteurs ciblent désormais indifféremment les dépendances, les extensions navigateur et les stores mobiles.

Ce qu'il faut retenir

• L'App Store n'est pas une barrière absolue : 26 apps FakeWallet ont passé la revue Apple en se déguisant en jeux ou calculatrices.
• La compromission d'une seed phrase est irréversible : aucune récupération possible après vidage du wallet.
• Pour les utilisateurs : ne saisir sa seed que sur le device d'origine, jamais via un écran applicatif tiers, même estampillé « vérification de sécurité ».

SparkKitty, héritière directe de SparkCat

La campagne FakeWallet n'est pas un incident isolé mais le dernier avatar d'une famille de logiciels malveillants documentée par Kaspersky depuis janvier 2025 sous le nom de SparkCat. Cette souche originelle ciblait déjà Android et iOS via des SDK publicitaires ou de traitement d'image trojanisés, intégrés dans des applications a priori légitimes distribuées sur Google Play et l'App Store. Sa spécificité technique : un module de reconnaissance optique de caractères (OCR) qui scanne discrètement la pellicule photo de l'utilisateur à la recherche de captures d'écran contenant des phrases de récupération ou des identifiants de portefeuilles. SparkKitty, identifiée mi-2025, reprend ce moteur OCR tout en l'associant à des interfaces de phishing dédiées imitant les portails officiels des principaux wallets, ce qui en fait une menace hybride combinant vol passif de données visuelles et ingénierie sociale active. La 26e vague d'applications décrite dans ce rapport confirme que l'infrastructure derrière SparkKitty reste active et continue de se renouveler malgré les détections précédentes.

Un mode opératoire déjà éprouvé sur les stores officiels

Le recours au camouflage applicatif — jeux, calculatrices, utilitaires de retouche photo — pour passer la revue d'Apple n'est pas non plus une nouveauté absolue. Des campagnes similaires avaient déjà été observées en 2023 et 2024, notamment autour de fausses applications imitant Trust Wallet et exploitant des techniques de « code splitting » : la logique malveillante n'est activée qu'après validation par les équipes de modération d'Apple, via un serveur de commande distant qui bascule l'app en mode frauduleux une fois publiée. Kaspersky indique que plusieurs des 26 applications identifiées utilisaient ce même mécanisme de activation différée, rendant la détection automatisée particulièrement difficile lors de la soumission initiale. Ce constat rejoint les conclusions de précédents rapports de Trend Micro et de Sophos sur les limites structurelles de la revue humaine face à des binaires dynamiquement reconfigurables.

Un secteur déjà fragilisé par les fuites de données

L'épisode intervient dans un contexte où la confiance envers les portefeuilles crypto reste écornée par plusieurs incidents majeurs, à commencer par la fuite de la base clients de Ledger en 2020, encore exploitée aujourd'hui dans des campagnes de phishing ciblé. Chainalysis estimait déjà en 2025 que plus de 2,2 milliards de dollars d'actifs numériques avaient été dérobés via des vecteurs combinant ingénierie sociale et compromission d'applications mobiles, une tendance à la hausse par rapport aux années précédentes. La spécificité de FakeWallet — cibler prioritairement les utilisateurs chinois, pour qui l'accès aux plateformes d'échange crypto est restreint et qui se tournent donc davantage vers des wallets non-custodiaux téléchargés en dehors des canaux officiels locaux — illustre comment les restrictions réglementaires nationales peuvent paradoxalement élargir la surface d'attaque en poussant les utilisateurs vers des sources moins contrôlées.

Apple indique avoir retiré les 26 applications signalées par Kaspersky et suspendu les comptes développeurs associés, mais aucune donnée n'a été communiquée sur le nombre d'installations ni sur le préjudice financier cumulé. L'absence de télémétrie publique de la part d'Apple sur ce type d'incident reste un point de friction récurrent entre l'éditeur et la communauté de recherche en sécurité, qui réclame davantage de transparence sur les volumes de compromission détectés a posteriori.