Мошенническая реклама в Google ведёт к заражению macOS новым вариантом AMOS-стилера

Кампания использует изощрённый метод распространения, сочетающий мошенническую рекламу в поисковой выдаче Google и бесплатные платформы для публикаций. Злоумышленники размещают рекламные объявления, ведущие на статьи на таких ресурсах, как Medium.com, Evernote.com, mssg.me и kimi.com. Эти статьи, оформленные как легитимные инструкции по устранению проблем с macOS или установке ПО, содержат вредоносные команды для терминала, замаскированные под безобидные действия. При этом для размещения рекламы используются взломанные бизнес-аккаунты Google Ads, принадлежащие реальным компаниям из разных сфер, что придаёт кампании видимость легитимности и усложняет её обнаружение. В ходе расследования было выявлено более 50 таких скомпрометированных аккаунтов, продвигавших свыше 485 вредоносных посадочных страниц исследование Gi7w0rm.

Анализ цепочки заражения (kill chain) показывает многоэтапную атаку. Жертва, перейдя по рекламной ссылке, видит инструкцию с командой для копирования в терминал. Эта команда, закодированная в Base64 и иногда дополнительно сжатая с помощью gzip, при выполнении загружает и запускает скрипт с сервера злоумышленников. Ключевым элементом является использование команды "xattr -c", которая снимает с загруженного бинарного файла атрибут карантина macOS ("com.apple.quarantine"). Это позволяет обойти защитный механизм Gatekeeper, который в противном случае предупредил бы пользователя о запуске непроверенного приложения из интернета. В некоторых вариантах атаки используется социальная инженерия: скрипт в бесконечном цикле запрашивает пароль администратора, имитируя системное окно, и сохраняет его для последующего использования вредоносным ПО.

Финальной полезной нагрузкой кампании является MachO-файл, содержащий исполняемые файлы для архитектур ARM и x86_64. Этот образец демонстрирует высокий уровень изощрённости, включая сложный механизм обнаружения виртуальных сред и песочниц (sandbox evasion). Скрипт проверки, написанный на AppleScript, анализирует системные параметры через "system_profiler", ищет признаки виртуальных машин (QEMU, VMware, KVM) и известных песочниц, а также проверяет аппаратную информацию на несоответствия. Если среда признаётся подозрительной, выполнение вредоносного кода прерывается. Эта техника оказалась настолько эффективной, что ни одна из доступных исследователям песочниц для macOS не смогла автоматически выполнить образец полностью.

После успешного прохождения проверки на виртуальное окружение запускается основной скрипт стилера, который исследователи условно назвали «Malext». Его функциональность обширна и опасна. Вредоносная программа собирает системную информацию, пароль учётной записи macOS (либо из кэша, либо через фишинговое окно), базы данных Apple Notes, файлы кук и данные автозаполнения Safari, а также содержимое рабочих папок «Рабочий стол» и «Документы». Особое внимание уделяется краже цифровых активов: стилер ищет и копирует данные более чем 15 настольных криптокошелков (включая Ledger Live, Trezor Suite, Exodus, Electrum), а также таргетирует расширения браузеров, связанные с криптовалютами и менеджерами паролей. Данные браузеров (Chrome, Firefox, Edge, Brave и других) также вычищаются полностью - извлекаются сохранённые логины, история, файлы cookies. Весь собранный «урожай» упаковывается в архив и эксфильтрируется на сервер управления (Command & Control, C2) злоумышленников.

Но на этом атака не заканчивается. Если стилеру удаётся получить пароль администратора, он предпринимает шаги по закреплению в системе и эскалации угрозы. Во-первых, устанавливается механизм persistence через LaunchDaemon, который гарантирует повторный запуск вредоносного агента при каждой загрузке системы. Во-вторых, происходит троянизация двух конкретных приложений - Ledger Wallet и Trezor Suite. Стилер загружает с серверов злоумышленников подменные версии этих программ и, используя украденный пароль с правами sudo, заменяет ими легитимные файлы. Это позволяет атакующим потенциально перехватывать операции с криптовалютами даже после очистки системы от основного стилера.

С технической точки зрения, многие детали, такие как структура HTTP-заголовков при эксфильтрации, пути URL и имена файлов для persistence (например, "com.finder.helper.plist"), указывают на связь с известным семейством AMOS Stealer. Однако наличие отдельных признаков, характерных для его форка Odyssey Stealer, может свидетельствовать об эволюции или гибридизации этих угроз. Независимо от точного названия, данная кампания демонстрирует тревожный тренд: рост целевых и технически сложных атак на пользователей macOS, которые традиционно считали эту платформу более безопасной. Успех кампании строится на доверии к рекламе в Google, использовании легитимных платформ для хостинга и умелом обходе встроенных защитных механизмов операционной системы.

Пользователям и администраторам систем macOS рекомендуется проявлять крайнюю осторожность при выполнении команд из непроверенных источников, особенно тех, что требуют ввода пароля администратора. Критически важно всегда проверять происхождение инструкций, использовать многофакторную аутентификацию где это возможно и регулярно обновлять программное обеспечение. Организациям, использующим Google Ads, следует мониторить активность своих аккаунтов на предмет несанкционированных кампаний. Данная атака служит напоминанием, что социальная инженерия, усиленная техническими уловками, остаётся одним из самых эффективных векторов кибератак, а угрозы для экосистемы Apple продолжают наращивать сложность и масштаб.

IPv4

• 168.100.9.122
• 199.217.98.33
• 38.244.158.56

Domains

• alfred-5-app-for-macos.medium.com
• alfred-5-for-macos.medium.com
• apple-mac-hidden-file.medium.com
• apple-mac-hidden-issues-guide.medium.com
• apple-mac-hidden-space-guide.medium.com
• apple-macos-disk-space-guide.medium.com
• apple-mac-storage-base.medium.com
• apple-mac-storage-issues-guide.medium.com
• apple-mac-system-hidden.medium.com
• apple-page-186.medium.com
• apple-page-6366.medium.com
• apple-page-773.medium.com
• apple-showhidden-guide.medium.com
• apple-storage-guide.mssg.me
• apple-usb-guide-macos.medium.com
• apple-usb-tips-142136.medium.com
• chatgpt-atlas.mssg.me
• claude-code-for-mac.mssg.me
• claude-code-page.mssg.me
• files-mac.mssg.me
• google-notebooklm.mssg.me
• help-page.medium.com
• iina-player-app-for-mac.medium.com
• kayeart.com
• mac-disk-full-helper.medium.com
• mac-hidden-files-fix.medium.com
• mac-low-storage-guide.medium.com
• macos-disk-space-tips.medium.com
• macos-slow-help.medium.com
• macos-storage-fixed.medium.com
• macos-storage-guide.medium.com
• macos-system-usb.medium.com
• macos-usb-fix-guide.medium.com
• mac-storage-full-fix.medium.com
• mac-support-hidden.medium.com
• mac-support-storage-guide.medium.com
• mac-usb-upgrade-161425.medium.com
• malext.com
• noteapp-d01.pages.dev
• notebooklm-app-on-macbook.medium.com
• notebooklm-google-app.pages.dev
• octopox.com
• raxelpak.com
• raytherrien.com
• smart-disk-space-fix.medium.com
• storage-guide-macos.medium.com
• support-apple.mssg.me
• support-apple-boost-up.medium.com
• support-apple-com-en-hidden.medium.com
• support-apple-com-slow-mac.medium.com
• support-apple-com-usb-mac.medium.com
• support-apple-en-freeupspace.medium.com
• support-apple-files-help.mssg.me
• support-apple-for-macos.mssg.me
• support-apple-help-files.medium.com
• support-apple-hidden-fix.mssg.me
• support-apple-hidden-update.medium.com
• support-apple-hid-files.medium.com
• support-apple-optimize-mac-os.medium.com
• support-apple-page-162.medium.com
• support-apple-page-548.medium.com
• support-apple-page-549.medium.com
• support-apple-page-550.medium.com
• support-apple-page-964.medium.com
• support-apple-storage-mac.medium.com
• support-mac-storage.medium.com
• usb-help-macos.mssg.me
• vagturk.com
• vic-media-player-app-for-mac.medium.com
• vlc-media-player-app-for-mac.medium.com

URLs

• kimi.com/share/19c6bb4b-2602-8cf2-8000-0000eb59915a
• kimi.com/share/19c6bb4e-b4a2-889b-8000-00009b9b30c3
• kimi.com/share/19c6bb6c-c172-82d9-8000-0000b6baa613
• kimi.com/share/19c76058-43d2-824b-8000-0000b7419bd7
• kimi.com/share/19c76072-9042-8cf7-8000-0000c17452f3
• kimi.com/share/19c76894-8cb2-8216-8000-0000b2d0e6bb
• lite.evernote.com/note/1277571a-c89b-dde3-536b-a1642ade040c
• lite.evernote.com/note/9f6fdee2-fce0-bc6a-705f-cb9ff5678e96
• lite.evernote.com/note/fbeeef29-7aa8-4ff2-18a2-080e82eb47af

SHA256

• 24ef7b4dac7573b4dd7bcd476f530396b242f6c44eb8f6cb6eeaaa70ea89e1af
• 35627eb91b5070cd38c333c6c688d6c2478ca2b5da7bfd771da5931d64dd4569
• 3c9c4d70fe2a96c66c3ce3ef09f66ed496f41e3687550e205e60952b9cc3f072
• 60c3e021515452f32cf7023be020c34c405e4831e7e8aa1e6a1eb4cb0b459a0d
• 615ef69e758fd798ebca87ec6d60183f25ff7b2391e8c33ce5d9f3314350855c
• 87d6091d149ffd1d77b2880c3d4ffbbd7ed20fc3d731ba52cd81909e4418cda5
• a4f50df51ae4cd479c4aca9af4dd3f55969bc103daed7ad6155d69fd26f7d5c9

Extensions

• abamjefkidngfegdjbmffdmbgjgpaobf = Doter
• abjfbanhppgiflmobebfffbijcfoeiao = Kontos
• abkahkcbhngaebpcgfmhkoioedceoigp = Casper Wallet
• abogmiocnneedmmepnohnhlijcjpcifd = Blade - Hedera Web3 Digital Wallet <- Banned for Malware lol
• acmacodkjbdgmoleebolmdjonilkdbch = Rabby Wallet
• admmjipmmciaobhojoghlmleefbicajg = Norton Password Manager
• aeachknmefphepccionboohckonoeemg = Coin98 Wallet Extension: Crypto & Defi
• aeblfdkhhhdcdjpifhhbdiojplfjncoa = 1Password – Password Manager
• afbcbjpbpfadlkmhmclhkeeodmamcflc = MathWallet
• aflkmfhebedbjioipglgcbcmnbpgliof = Backpack
• agoakfejjabomempkjlepdflaleeobhb = Core Wallet: Crypto Made Easy
• ahidmapichficbkfglbhgmhjcojjmlnm = BitsLab Safe
• aholpfdialjgjfhomihkjbmgjidlcdno = Exodus Web3 Wallet
• aiaghdjafpiofpainifbgfgjfpclngoh = Safeheron
• aiifbnbfobpmeekipheeijimdpnlpgpp = Station Wallet
• aijcbedoijmgnlmjeegjaglmepbmpkpi = Leap Terra Wallet
• ajkifnllfhikkjbjopkhmjoieikeihjb = Moso Extension
• ajopcimklncnhjednieoejhkffdolemp = Quantum Wallet
• akkmagafhjjjjclaejjomkeccmjhdkpa = Nintondo Wallet
• algblmhagnobbnmakepomicmfljlbehg = ADS Wallet
• amkmjjmmflddogmhpjloimipbofnfjih = Wombat - Gaming Wallet for Ethereum & EOS
• ammjlinfekkoockogfhdkgcohjlbhmff = Legacy Wallet <- Confirmed Malware
• anokgmphncpekkhclmingpimjmcooifb = Compass Wallet for Sei
• apnehcjmnengpnmccpaibjmhhoadaico = CWallet
• bcenedbpaaegpnijoadpdjiachahncdg = Thetan Wallet Extension <- Security Alert
• bcopgchhojmggmffilplmbdicgaihlkp = Hycon Lite Client
• bdgmdoedahdcjmpmifafdhnffjinddgc = Bittensor Wallet
• bedogdpgdnifilpgeianmmdabklhfkcn = VESPR Wallet
• bfnaelmomeimhlpmgjnjophhpkkoljpa = Phantom Wallet
• bfogiafebfohielmmehodmfbbebbbpei = Keeper® Password Manager & Digital Vault
• bgjogpoidejdemgoochpnkmdjpocgkha = Ecto Wallet
• bgpipimickeadkjlklgciifhnalhdjhe = Gero Dashboard
• bhghoamapcdpbohphigoooaddinpkbai = Authenticator
• bhhhlbepdkbapadjdnnojkbgioiodbic = Solflare Wallet
• bifidjkcdpgfnlbcjpdkdcnbiooooblg = Fuelet Wallet | Fuel
• bipdhagncpgaccgdbddmbpcabgjikfkn = Clown Wallet
• bkgplkpdgidlgmnlhdfakhcjfpfgjjkb = Ancient8 Wallet by Coin98
• bkklifkecemccedpkhcebagjpehhabfb = MetaWallet
• bmabahhenimmnfijaiccmonalfhpcndh = Relation ONE
• bmikpgodpkclnkgmnpphehdgcimmided = MYKI Password Manager & Authenticator
• bocpokimicclpaiekenaeelehdjllofo = XDCPay
• bofddndhbegljegmpmnlbhcejofmjgbn = eckoWALLET
• bopcbmipnjdcdfflfgjdgdjejmgpoaab = BlockWallet
• caljgklbbfbcjjanaijlacgncafpegll = Avira Password Manager
• cfbfdhimifdmdehjmkdobpcjfefblkjm = Plug
• cflgahhmjlmnjbikhakapcfkpbcmllam = OORT Wallet
• cgeeodpfagjceefieflmdfphplkenlfk = EVER Wallet
• chgfefjpcobfbnpmiokfjjaglahmnded = CommonKey
• cihmoadaighcejopammfbmddcmdekcje = LeafWallet - Easy to use EOS wallet
• cjmkndjhnagcfbpiemnkdpomccnjblmj = Finnie
• cjookpbkjnpkmknedggeecikaponcalb = XTON wallet
• ckklhkaabbmdjkahiaaplikpdddkenic = Internet Money | Crypto Wallet
• cmndjbecilbocjfkibfbifhngkdmjgog = Swash
• cmoakldedjfnjofgbbfenefcagmedlga = Nest Wallet
• cnlhokffphohmfcddnibpohmkdfafdli = MultiPassword — Password manager
• cnmamaachppnkjgnildpdmkaakejnhae = Auro Wallet
• cnncmdhjacpkmjmkcafchppbnpnhdmon = HAVAH Wallet
• copjnifcecdedocejpaapepagaodgpbh = Freak's Axie Extension
• cphhlgmgameodnhkjdmkpanlelnlohao = NeoLine
• cpmkedoipcpimgecpmgpldfpohjplkpp = Gate Wallet
• dbgnhckhnppddckangcjbkjnlddbjkna = Fin Wallet For Sei
• dgiehkgfknklegdhekgeabnhgfjhbajd = Komodo Wallet
• dkdedlpgdmmkkfjabffeganieamfklkm = Cyano Wallet
• dlcobpjiigpikoobohmabehhmhfoodbb = Ready Wallet (Formerly Argent)
• dldjpboieedgcmpkchcjcbijingjcgok = Fuel Wallet
• dmkamcknogkgcdfhhbddcghachkejeap = Keplr
• dngmlblcodfobpdpecaadgfbcggfjfnm = MultiversX Wallet
• dpcklmdombjcplafheapiblogdlgjjlb = OrdiFind Wallet
• dphoaaiomekdhacmfoblfblmncpnbahm = ChromeKeePass
• eajafomhmkipbjmfmhebemolkcicgfmd = Taho
• eamiofncoknfkefhlkdblngblpffehek = Verto - Multichain Crypto Wallet for DEFI
• ebfidpplhabeedpnhjnobghokpiioolj = Fewcha Move Wallet
• efbglgofoippbgcjepnhiblaibcnclgk = Martian Aptos & Sui Wallet Extension
• egjidjbpglichdcondbcbdnbeeppgdph = Trust Wallet
• ehgjhhccekdedpbkifaojjaefeohnoea = Ambire Web3 Wallet
• ehjiblpccbknkgimiflboggcffmpphhp = XcelPay Wallet
• eiaeiblijfjekdanodkjadfinkhbfgcd = NordPass® Password Manager & Digital Vault
• einnioafmpimabjcddiinlhmijaionap = Wander
• ejbidfepgijlcgahbmbckmnaljagjoll = Salmon Wallet
• ejjladinnckdgjemekebdpeokbikhfci = Petra Aptos Wallet
• elalghlhoepcjfaedkcmjolahamlnjcp = Bitgreen Wallet
• ellkdbaphhldpeajbepobaecooaoafpg = ASI Alliance Wallet
• emeeapjkbcbpbpgaagfchmcgglmebnen = Surf Wallet
• enabgbdfcbaehmbigakijjabdpdnimlg = Manta Wallet <- Security Alert: Confirmed Malware
• eokbbaidfgdndnljmffldfgjklpjkdoi = Fluent
• eomhlheglneofffmbfjflldlbcnhpkpb = TronBoss
• epapihdplajcdnnkdeiahlgigofloibg = Sender Wallet
• fccgmnglbhajioalokbcidhcaikhlcpm = Zapit: Crypto Wallet & P2P Exchange
• fcckkdbjnoikooededlapcalpionmalo = MOBOX WALLET
• fcfcfllfndlomdhbehjjcoimbgofdncg = Leap Wallet
• fdchdcpieegfofnofhgdombfckhbcokj = Puzzle | Aleo Wallet
• fdcnegogpncmfejlfnffnofpngdiejii = Razor Wallet
• fdjamakpfbbddfjaooikfcpapjohcfmg = Dashlane — Password Manager
• ffbceckpkpbcmgiaehlloocglmijnpmp = Initia Wallet
• ffnbelfdoeiohenkjibnmadjiehjhajb = Yoroi
• fghhpjoffbgecjikiipbkpdakfmkbmig = IDRISS
• fhbohimaelbohpjbbldcngcnapndodjp = BEW lite
• fhilaheimglignddkjgofkcbgekhenbh = Oxygen - Atomic Crypto Wallet
• fiikommddbeccaoicoejoniammnalkfa = Nightly
• fijngjgcjhjmmpcmkeiomlglpeiijkld = Talisman Wallet
• fldfpgipfncgndfolcbkdeeknbbbnhcc = MyTonWallet · My TON Wallet
• flpiciilemghbmfalicajoolhkkenfel = ICONex
• fmblappgoiilbgafhjklehhfifbdocee = Forbole X
• fmhmiaejopepamlcjkncpgpdjichnecm = KeePass Tusk - Password Access and Autofill
• fnjhmkhhmkbjkkabndcnnogagogbneec = Ronin Wallet
• fopmedgnkfpebgllppeddmmochcookhc = Suku Wallet
• fpibioaihcagphbidhodidjbnclocgll = Indexx Wallet (Security Alert: Confirmed Malware)
• fpkhgmpbidmiogeglndfbkegfdlnajnf = Cosmostation Wallet
• gadbifgblmedliakbceidegloehmffic = Paragon
• gafhhkghbfjjkeiendhlofajokpaflmk = Lace
• gbjepgaebckfidagpfeioimheabiohmg = ZEON Wallet
• gdokollfhmnbfckbobkdbakhilldkhcj = Alephium Extension Wallet
• ghlmndacnhlaekppcllcpcjjjomjkjpg = Wizz Wallet
• ghmbeldphafepmbegfdlkpapadhbakde = Proton Pass: Free Password Manager
• ginchbkmljhldofnbjabmeophlhdldgp = PolkaGate
• gjagmgiddbbciopjhllkdnddhcglnemk = Hashpack
• gjkdbeaiifkpoencioahhcilildpjhgh = Parti Wallet
• gjlmehlldlphhljhpnlddaodbjjcchai = Nautilus Wallet
• gjnckgkfmgmibbkoficdidcljeaaaheg = Atomic Wallet
• gkeelndblnomfmjnophbhfhcjbcnemka = Bitverse Wallet
• gkodhkbmiflnmkipcmlhhgadebbeijhh = Soter | Aleo Wallet
• glmhbknppefdmpemdmjnjlinpbclokhn = Orange Wallet
• gpnihlnnodeiiaakbikldcihojploeca = NUFI
• hbbgbephgojikajhfbomhlmmollphcad = Rise - Aptos Wallet <- Confirmed Malware
• hcjhpkgbmechpabifbggldplacolbkoh = StarKey Wallet - The official wallet for Supra
• hdkobeeifhdplocklknbnejdelgagbao = Crypto wallet – Bitcoin & USDT
• hdokiejnpimakedhajhdlcegeplioahd = LastPass: Free Password Manager
• heamnjbnflcikcggoiplibfommfbkjpj = Zeal Wallet
• hgbeiipamcgbdjhfflifkgehomnmglgk = Harbor - Crypto Wallet
• hifafgmccdpekplomjjkcfgodnhcellj = Crypto.com | Onchain Extension
• hmeobnfnfcmdkdcmlblgagmfpfboieaf = Ctrl Wallet
• hnfanknocfeofbddgcijnmhnfnkdnaad = Coinbase Wallet extension
• hnhobjmcibchnmglfbldbfabcgaknlkj = Flint Wallet (Security Alert: Confirmed Malware)
• hpbgcgmiemanfelegbndmhieiigkackl = Monsta Wallet
• hpclkefagolihohboafpheddmmgdffjm = Flow Wallet
• ibljocddagjghmlpgihahamcghfggcjc = Virgo Wallet
• ibnejdfjmmkpcnlpebklmnkoeoihofec = TronLink
• icblpoalghoakidcjiheabnkijnklhhe = PIP (Crypto Tags)
• icpikagpkkbldbfjlbefnmmmcohbjije = Z3US Wallet
• idnnbdplmphpflfnlkomgpfbpcgelopg = Xverse: Bitcoin Crypto Wallet
• idpdilbfamoopcfofbipefhmmnflljfi = FACT wallet
• ieldiilncjhfkalnemgjbffmpomcaigi = Portal DEX
• ifckdpamphokdglkkdomedpdegcjhjdp = ONTO Wallet
• ifclboecfhkjbpmhgehodcjpciihhmif = Klever Wallet
• igkpcodhieompeloncfnbekccinhapdb = Zoho Vault - Password Manager
• iglbgmakmggfkoidiagnhknlndljlolb = Portkey Wallet
• ilhaljfiglknggcoegeknjghdgampffk = Beam Web Wallet
• ilolmnhjbbggkmopnemiphomhaojndmb = Oyl Wallet - Bitcoin & Ordinals Wallet
• imlcamfeniaidioeflifonfjeeppblda = NC Wallet: Crypto wallet without fees
• inlkhilmjmjomfcpdifpfgllhhlpnbej = Unielon
• iokeahhehimjnekafflcihljlcjccdbe = Alby - Bitcoin Wallet for Lightning & Nostr
• jaooiolkmfcmloonphpiiogkfckgciom = Twetch Wallet
• jbkgjmpfammbgejcpedggoefddacbdia = Parallel wallet
• jblndlipeogpafnldhgmapagcccfchpi = Kaia Wallet
• jbppfhkifinbpinekbahmdomhlaidhfm = iWallet Pro
• jcacnejopjdphbnjgfaaobbfafkihpep = Hive Keychain
• jfdlamikmbghhapbgfoogdffldioobgl = Hana Wallet
• jfmajkmgjpjognffefopllhaijknhnmm = Walless
• jgnfghanfbjmimbdmnjfofnbcgpkbegj = KeePassHelper Password Manager
• jhfjfclepacoldmjmkmdlmganfaalklb = Splikity (Password Manager)
• jiepnaheligkibgcjgjepjfppgbcghmp = Doge Labs Wallet
• jiidiaalihmmhddjgbnbgdfflelocpak = Bitget Wallet - Crypto, Web3 | Bitcoin & USDT
• jiiigigdinhhgjflhljdkcelcjfmplnd = Mango Wallet
• jkjgekcefbkpogohigkgooodolhdgcda = BitPay
• jkoeaghipilijlahjplgbfiocjhldnap = Mask Network
• jnkelfanjkeadonecabehalmbgpfodjm = Goby (Chia Wallet)
• jnldfbidonfeldmalbflbmlebbipcnle = Bitfinity Wallet
• jnlgamecbpmbajjfhmmmlhejkemejdma = Braavos: Bitcoin & Starnet Wallet
• jnmbobjmhlngoefaiojfljckilhhlhcj = OneKey: Secure Crypto Wallet
• jojhfeoedkpkglbfimdfabpdfjaoolaf = Polymesh Wallet
• kamfleanhcmjelnhaeljonilnmjpkcjc = Inspect - Crypto | NFTs | DeFi | Web3
• kbdcddcmgoplfockflacnnefaehaiocb = Shell Wallet (confirmed malware)
• keenhcnmdmjjhincpilijphpiohdppno = 5ire Wallet
• kennjipeijpeengjlogfdjkiiadhbmjl = PWR Wallet
• kfdniefadaanbjodldohaedphafoffoh = Typhon Wallet
• kgdijkcfiglijhaglibaidbipiejjfdp = Cirus: Crypto Wallet | Web3 | Earn Crypto (Potentially Malware)
• kglcipoddmbniebnibibkghfijekllbl = Kerberus Sentinel3 (Crypto and NFT security extension)
• khhapgacijodhjokkcjmleaempmchlem = ESET Password Manager
• khpkpbbcccdmmclmpigdgddabeilkdpd = Suiet | Sui Wallet
• kilnpioakcdndlodeeceffgjdpojajlo = Aurox Wallet
• kjjebdkfeagdoogagbhepmbimaphnfln = Ultra Wallet
• kkilomkmpmkbdnfelcpgckmpcaemjcdh = CeloExtensionWallet
• kkpllbgjhchghjapjbinnoddmciocphm = Ninji Wallet
• kkpllkodjeloidieedojogacfhpaihoh = Enkrypt: ETH, BTC and Solana Wallet
• klghhnkeealcohjjanjjdaeeggmfmlpl = Zerion Wallet: Crypto & DeFi
• klnaejjgbibmhlephnhpmaofohgkpgkd = ZilPay
• kmcfomidfpdkfieipokbalgegidffkal = Enpass Password Manager
• kmhcihpebfmpgmihbkipmjlmmioameka = Eternl (Gateway to Crypto Stuff)
• kmphdnilpmdejikjdnlbcnmnabepfgkh = OSMWallet - Your XRP Wallet
• kncchdigobghenbbaddojjnnaogfppfj = iWallet
• kpfchfdkjhcoekhdldggegebfakaaiog = FRWT Secure DeFi Crypto Wallet
• kppfdiipphfccemcignhifpjkapfbihd = Frontier Wallet
• lakggbcodlaclcbbbepmkpdhbcomcgkd = CloverPool Wallet
• lbjapbcmmceacocpimbpbidpgmlmoaao = Metalet
• lccbohhgfkdikahanoclbdmaolidjdfl = Wigwam — Web3 Wallet
• lcmncloheoekhbmljjlhdlaobkedjbgd = Echooo Wallet
• ldinpeekobnhjjdofggfgjlcehhmanlj = Leather
• lfmmjkfllhmfmkcobchabopkcefjkoip = LootRush Wallet
• lgbjhdkjmpgjgcbcdlhkokkckpjmedgc = DualSafe Password Manager & Digital Wallet
• lgmpcpglpngdoalbgeoldeajfclnhafa = SafePal Extension Wallet
• lmkncnlpeipongihbffpljgehamdebgi = DPal: Wallet for DogeCoin
• lnnnmfcpbkafcpgdilckhmhbkkbpkmid = Koala Wallet
• loinekcabhlmhjjbocijdoimmejangoa = Glass Wallet | Sui Wallet
• lpfcbjknijpeeillifnkikgncikgfhdo = Nami (Cordano Blockchain Wallet)
• lpilbniiabackdjcionkobglmddfbcjo = Keeper Wallet
• mapbhaebnddapnmifbbkgeedkeplgjmf = Biport Wallet
• mcohilncbfahbmgdjkbpemcciiolgcge = OKX Wallet
• mdjmfdffdcmnoblignmgpommbefadffd = Carax Wallet (removed from Playstore)
• mdnaglckomeedfbogeajfajofmfgpoae = Energy8 Wallet
• mfgccjchihfkkindfppnaooecgfneiii = TokenPocket - Web3 & Crypto Wallet
• mfhbebgoclkghebffdldpobeajmbecfk = StarMask (Starcoin Wallet)
• mgffkfbidihjpoaomajlbgchddlicgpn = Pali Wallet
• mjgkpalnahacmhkikiommfiomhjipgjn = Reef Chain Wallet Extension
• mkchoaaiifodcflmbaphdgeidocajadp = Spacecy Wallet
• mkpegjkblkkefacfnmkajcjmabijhclg = Magic Eden Wallet
• mlbnicldlpdimbjdcncnklfempedeipj = Yours Wallet
• mlhakagmgkmonhdonhkpjeebfphligng = ABC Wallet - Safe Web3 wallet
• mmclamjkknobggpiohfneimmnlggagok = LEDGIS Wallet Chrome Extension
• mmhlniccooihdimnnjhamobppdhaolme = Chrome Kee - Password Manager
• mmmjbcfofconkannjonfmjjajpllddbg = Fluvi Wallet
• mnfifefkajgofkcjkemidiaecocnkjeh = TezBox - Tezos Wallet
• modjfdjcodmehnpccdjngmdfajggaoeh = Vanta Wallet
• momakdpclmaphlamgjcndbgfckjfpemp = BitMask
• naepdomgkenhinolocfifgehidddafch = Browserpass
• nbdhibgjnjpnkajaghbffjbkcgljfgdi = Ramper Wallet
• nbdpmlhambbdkhkmbfpljckjcmgibalo = Halo
• nebnhfamliijlghikdgcigoebonmoibm = Leo Wallet
• nhbicdelgedinnbcidconlnfeionhbml = Begin: Bitcoin Cardano Wallet
• nhlnehondigmgckngjomcpcefcdplmgc = Fearless Wallet
• nhnkbkgjikgcigadomkphalanndcapjk = CLV Wallet
• niiaamnmgebpeejeemoifgdndgeaekhe = Cypher Wallet
• nkbihfbeogaeaoehlefnkodbefgpgknn = MetaMask
• nknhiehlklippafakaeklbeglecifhad = Nabox Wallet
• nlgbhdfgdhgbiamfdfmbikcdghidoadd = Byone
• nlgnepoeokdfodgjkjiblkadkjbdfmgd = Multi Wallet
• nngceckbapebfimnlniiiahkandclblb = Bitwarden Password Manager
• nopnfnlbinpfoihclomelncopjiioain = Viction Wallet
• nphplpgoakhhjchkkhmiggakijnkhfnd = TON Wallet
• oafedfoadhdjjcipmcbecikgokpaphjk = CoinWallet: BTC Crypto Wallet
• oboonakemofpalcgghocfoadofidjkkk = KeePassXC-Browser
• ocjobpilfplciaddcbafabcegbilnbnb = XPLA Vault Wallet
• oiohdnannmknmdlddkdejbmplhbdcbee = ScaleWallet
• ojbcfhjmpigfobfclfflafhblgemeidi = Glow - Solana Wallet BETA
• ojggmchlghnjlapmfbnjholfjkiidbch = Venom Wallet
• omaabbefbmiijedngplfjmnooppbclkk = Tonkeeper — wallet for TON
• onhogfjeacnfoofkfgppdlbmlmnplgbn = SubWallet - Polkadot Wallet
• ookjlbkiijinhpmnjffcofjonbfbgaoc = Temple Wallet
• opcgpfmipidbgpenhmajoajpbobppdil = Slush - A Sui Wallet
• opfgelmcmbiajamepnmloijbpoleiama = Rainbow (Wallet)
• panpgppehdchfphcigocleabcmcgfoca = Desig Wallet
• papngmkmknnmfhabbckobgfpihpdgplk = BearBy
• pcndjhkinnkaohffealmlmhaepkpmgkb = Meteor Wallet
• pdadjkfkgcafgbceimcpbkalnfnepbnk = KardiaChain Wallet
• pdliaogehgdbhbnmkklieghmmjkpigpa = Bybit Wallet
• penjlddjkjgpnkllboccdgccekpkcbin = OpenMask - TON wallet
• pfccjkejcgoppjnllalolplgogenfojk = Tomo Wallet
• pgiaagfkgcbnmiiolekcfmljdagdhlcm = Stargazer Wallet
• phkbamefinggmakgklpkljjmgibohnba = Pontem Crypto Wallet - Eth, Sol, BTC +
• pmmnimefaichbcnbndcfpaagbepnjaig = FoxWallet
• pnlccmojcmeohlpggmfnbbiapkmbliob = RoboForm Password Manager
• pnndplcbkakcplkjnolgbkdgjikjednm = Tron Wallet & Explorer - Tronium
• pocmplpaccanhmnllbbkpgfliimjljgo = Slope Wallet
• ppbibelpcjmhbdihakflkdcoccbgbkpo = UniSat Wallet
• ppdadbejkmjnefldpcdjhnkpbjkikoip = ROSE Wallet