Der Trojaner SparkCat zielt darauf ab, Passwörter und Wiederherstellungsphrasen für Krypto-Wallets zu stehlen.
Ein von Kaspersky neu entdeckter Trojaner namens SparkCat zielt auf Kryptowährungs-Wallets ab. Er verbirgt sich in beliebten Android- und iOS-Apps, die auf Google Play und dem AppStore verfügbar sind. Die Malware nutzt optische Zeichenerkennung (OCR), um sensible Daten wie Passwörter und Wiederherstellungsphrasen für Kryptowährungs-Wallets aus den Bildgalerien von Smartphones zu stehlen. SparkCat ist seit mindestens März 2024 aktiv und verzeichnete bereits über 242.000 Downloads allein im Google Play Store.
Malware-Kampagne: Krypto-Stealer in Google Play- und App Store-Apps gefunden
Gemäß Kaspersky gibt es achtzehn infizierte Android- und zehn iOS-Apps. Achtung ist geboten, denn aktuell sind davon noch immer viele in den jeweiligen App-Stores verfügbar. Eine der von Kaspersky als infiziert gemeldeten Apps ist die Android-App ChatAi. Diese haben User bereits über 50.000 Mal heruntergeladen. Bei Google Play ist sie bereits gelöscht.
Weiterhin infiziert wäre die Essensliefer-App namens „ComeCome“. Diese wurde über 10.000 Mal von Google Play heruntergeladen. Zudem betroffen sind legitime Anwendungen wie WeTink als auch allgemeine KI-basierte Messenger-Apps wie AnyGPT.
Eine Analyse der Schlüsselwortlisten von SparkCat ergab, dass der Trojaner gezielt Opfer in Europa und Asien anvisierte. Besonders alarmierend an SparkCat ist, dass es dem Trojaner gelang, die strengen Sicherheitsmaßnahmen von Apple zu umgehen und in den App Store einzudringen. Hierzu stellten die Sicherheitsforscher fest:
„Dies ist der erste bekannte Fall, in dem im offiziellen App-Store von Apple eine mit OCR-Spyware infizierte App gefunden wurde.“
Das Auftauchen von SparkCat in offiziellen App-Stores wie Google Play und dem App Store gibt demgemäß Anlass zu Bedenken hinsichtlich der Sicherheit dieser Plattformen. Denn trotz strenger Prüfprozesse schlüpfen immer wieder bösartige Apps durch die Maschen und gefährden so die Benutzer.
Funktionsweise von SparkCat
Nach der Installation fordert SparkCat Zugriff auf die Fotogalerie des Nutzers an. Kaspersky berichtete, dass der Trojaner, sobald er ein Gerät infiziert hat, sie mithilfe optischer Zeichenerkennung (OCR) Bilder in verschiedenen Sprachen nach bestimmten Schlüsselwörtern wie die Wiederherstellungsphrasen von Kryptowährungs-Wallets durchsucht. Sobald solche angeforderten Informationen vorliegen, sendet der Krypto-Stealer diese an den Angreifer über den Command-and-Control-Server (C2). Damit erlangt er letztlich die vollständige Kontrolle über die Wallets der Opfer.
Jedoch vermag SparkCat nicht nur, geheime Phrasen zu stehlen, sondern auch andere persönliche Daten aus der Fotogalerie zu extrahieren. Die Sicherheitsforscher von Kaspersky raten infolge davon ab, vertrauliche Informationen wie Passwörter in Screenshots oder mobilen Fotogalerien zu speichern. Empfohlen wird stattdessen die Verwendung von Passwortmanagern.
Der SparkCat-Trojaner verwendet ein Kommunikationsprotokoll, das in Rust implementiert ist. Gemäß Kaspersky wird die Programmiersprache normalerweise nicht für die Entwicklung mobiler Apps verwendet. Möglicherweise könnte die ungewöhnliche Wahl ein Versuch sein, der Erkennung durch Sicherheitsforscher und Antivirensoftware zu entgehen. Kaspersky resümiert:
„Was diesen Trojaner besonders gefährlich macht, ist, dass es keinen Hinweis auf ein in der App verstecktes bösartiges Implantat gibt. Die von ihm angeforderten Berechtigungen können so aussehen, als wären sie für seine Kernfunktionalität erforderlich oder erscheinen auf den ersten Blick harmlos. Die Malware läuft auch ziemlich heimlich.“
Schutzmaßnahmen für Nutzer
Kaspersky rät dazu:
- Wenn eine der infizierten Apps auf Ihrem Gerät installiert ist, entfernen Sie sie und vermeiden Sie eine Neuinstallation, bis ein Fix veröffentlicht wird.
- Vermeiden Sie es, Screenshots mit vertraulichen Informationen, wie z. B. Wiederherstellungsphrasen für Krypto-Wallets, in der Galerie zu speichern. Sie können Passwörter, vertrauliche Dokumente und andere vertrauliche Informationen in speziellen Apps speichern.
- Verwenden Sie auf allen Ihren Geräten ein robustes Sicherheitsprodukt .
Durch die Umsetzung dieser Maßnahmen kann man das Risiko einer Kompromittierung seiner Kryptowährungs-Wallets durch Malware wie SparkCat erheblich reduzieren.
