Коротко: 6 августа 2026 года «Лаборатория Касперского» сообщила, что заражённые копии популярных iPhone-приложений — клиента торговой площадки, фоторедактора и видеосервиса — раздают через русскоязычный телеграм-канал. Ставятся они в обход App Store: пользователь скачивает IPA-файл, покупает у продавца сертификат разработчика и подписывает приложение. Пока программа открыта, скрытый модуль собирает данные об устройстве, геолокацию и скриншоты. Защита простая: ставьте приложения только из App Store.
Что произошло
Эксперты «Лаборатории Касперского» обнаружили в телеграм-канале модифицированные версии известных iPhone-приложений. Внешне это те же привычные программы — онлайн-площадка для продажи товаров, фоторедактор, сервис просмотра видео, — но злоумышленники встроили внутрь настоящего приложения вредоносный модуль. Приманка — удобство: пользователю обещают «рабочую» сборку без обычных ограничений App Store. Разборы угроз в нашем блоге раз за разом приводят к одному выводу — источник загрузки важнее названия приложения.
Это не джейлбрейк и не дыра в самой iOS. Это социальная инженерия, обёрнутая вокруг штатного механизма установки сторонних приложений Apple, — и именно поэтому схема проходит мимо тех, кто доверяет бренду приложения, а не тому, откуда оно взялось.
Как устроена схема
Цепочка состоит из нескольких ручных шагов, и каждый из них — тревожный сигнал. В канале выкладывают установочный файл (IPA). Чтобы iOS его запустила, жертва должна получить сертификат разработчика — его продают те же злоумышленники — и импортировать в сторонний инструмент подписи, например eSign или Scarlet. Подписанное приложение затем устанавливается полностью в обход App Store. По сути, пользователя уговаривают вручную снять главную проверку безопасности Apple и довериться сертификату, которым управляет посторонний.
Что собирает вредонос
Пока приложение открыто, скрытый модуль собирает имя устройства, уровень заряда батареи, региональные настройки, сведения о памяти и признак джейлбрейка, а также может считывать геолокацию, код мобильного оператора и делать снимки экрана, передавая всё это злоумышленникам. Есть важное ограничение: в фоновом режиме зловред работать не умеет — он собирает данные только пока его приложение на экране. Это снижает ущерб, но не убирает его: фоторедактор или приложение для покупок открывают достаточно часто, а один скриншот способен раскрыть сообщение, код или платёжные данные.
Что это значит для пользователя
Вывод не в том, что «iPhone небезопасен». Проверка приложений в App Store существует как раз для того, чтобы ловить подобное, и атака срабатывает только после того, как человека уговорили её обойти. Настоящий риск — привычка искать «бесплатную» или «разблокированную» сборку вне официальной площадки. На смартфоне именно источник установки является границей безопасности — см. наш обзор что на самом деле защищает ваши данные. Имя устройства, ваша геолокация и скриншоты — это ровно те отпечатки, по которым составляют ваш профиль и готовят последующие атаки.
Как защититься
Во-первых, устанавливайте iOS-приложения только из App Store. Если нужной программы там нет, ищите её на официальном сайте разработчика — но никогда не в чате, который заодно продаёт вам сертификат для её запуска. Во-вторых, если вы уже поставили такую сборку, удалите её, а в «Настройки» → «Основные» → «VPN и управление устройством» уберите незнакомые сертификаты разработчика и профили конфигурации. В-третьих, держите iOS и приложения обновлёнными и пересмотрите выданные разрешения (геолокация, запись экрана).
Наконец, добавьте сетевой слой приватности. VPN не проверяет приложения на вредоносность — это не его задача, — но в публичных и недоверенных сетях приложение LiMP VPN шифрует трафик, чтобы владелец сети и провайдер не видели, какими сервисами вы пользуетесь, а благодаря политике no-logs сам сервис не хранит журнал вашей активности. Разделяйте уровни защиты: App Store охраняет то, что запускается на устройстве, а VPN — ваши данные в сети.