Мошенники распространяют зараженные версии популярных iOS-приложений через русскоязычный Telegram-канал.

В модифицированные версии настоящих программ встраивают вредоносный модуль, способный собирать данные об устройстве, геолокацию и делать снимки экрана. Среди зараженных приложений — онлайн-площадка для продажи товаров, фоторедактор и сервис для просмотра видео.

Установочные файлы (IPA) злоумышленники публикуют прямо в Telegram, а пользователям предлагают купить у них сертификат разработчика. Сертификат импортируют в инструменты для установки сторонних приложений на iOS — например, eSign или Scarlet, — после чего приложение подписывается и устанавливается в обход App Store. Поставить программу можно и без покупки сертификата: с компьютера или на устройство с джейлбрейком.