SparkCat-Malware: Eine Bedrohung für mobile Krypto-Wallets

Getarnte Apps zielen auf Kryptowährungs-Wallets ab

Eine Bedrohung namens SparkCat Malware hat sich in den App Stores von Apple und Google eingenistet. Diese Kampagne nutzt betrügerische Anwendungen, um vertrauliche Informationen von Benutzern zu sammeln. Dabei werden insbesondere Merksätze im Zusammenhang mit Kryptowährungs-Wallets verwendet. Durch die Einbettung bösartiger Komponenten in scheinbar legitime Anwendungen haben die Betreiber von SparkCat eine effektive Möglichkeit geschaffen, kritische Wiederherstellungsinformationen von ahnungslosen Opfern zu stehlen.

Die Kampagne nutzt ein fortschrittliches optisches Zeichenerkennungssystem (OCR), um Text aus Bildern zu scannen und zu extrahieren, die auf infizierten Geräten gespeichert sind. Dieser Prozess ermöglicht es der Malware, Wiederherstellungsphrasen zu identifizieren und zu erfassen, die dann an einen von den Angreifern kontrollierten Remote-Server übertragen werden. Die Auswirkungen dieser Methode sind besonders besorgniserregend, da sie es Bedrohungsakteuren ermöglicht, herkömmliche Sicherheitsmaßnahmen zu umgehen und unbefugten Zugriff auf digitale Assets zu erhalten.

So funktioniert die SparkCat-Malware

Im Mittelpunkt der SparkCat-Kampagne steht ein eingebettetes Software Development Kit (SDK), das eine Java-Komponente namens Spark enthält, die sich fälschlicherweise als Analysemodul ausgibt. Forscher untersuchen noch, ob dieses SDK durch einen Lieferkettenkompromittierung eingeführt wurde oder ob Entwickler es absichtlich in ihre Anwendungen eingebaut haben.

SparkCat wurde in Anwendungen gefunden, die sich als Tools für künstliche Intelligenz (KI), Essenslieferdienste und Web3-bezogene Apps tarnen. Während einige dieser Anwendungen nur begrenzte legitime Funktionen bieten, dienen sie letztendlich als Vehikel für das wahre Ziel der Malware – das Sammeln von Wiederherstellungsphrasen aus gespeicherten Bildern. Sobald das bösartige Modul aktiviert ist, entschlüsselt und setzt die Malware ein OCR-Plugin ein, das mithilfe der ML Kit-Bibliothek von Google erstellt wurde, um Bildergalerien nach bestimmten Schlüsselwörtern zu durchsuchen, die mit Kryptowährungs-Wallets verknüpft sind.

Erweiterung über Android hinaus auf iOS

Während Bedrohungen, die OCR-Technologie nutzen, bereits zuvor auf Android entdeckt wurden, ist SparkCat einer der ersten Fälle einer solchen Taktik, die im App Store von Apple auftaucht. Die iOS-Variante der Malware folgt einer ähnlichen Methodik und nutzt Googles ML Kit-Bibliothek, um Daten aus Bildern zu extrahieren. Darüber hinaus enthält die Malware Rust-basierte Kommunikationstechniken für ihre Command-and-Control-Funktionen (C2), ein ungewöhnlicher Ansatz für mobile Bedrohungen.

Berichten zufolge ist SparkCat seit März 2024 aktiv im Einsatz. Die betroffenen Apps werden sowohl über offizielle als auch über Drittanbieter-App-Stores vertrieben. Einige Anwendungen, die diesen Schadcode enthielten, wurden vor ihrer Entfernung über 242.000 Mal heruntergeladen, was darauf hindeutet, dass eine beträchtliche Benutzerbasis gefährdet sein könnte.

Die Folgen dieses Angriffs

Das Hauptrisiko der SparkCat-Malware besteht darin, dass sie Wiederherstellungsphrasen von Kryptowährungs-Wallets stehlen kann. Diese Phrasen sind eine wichtige Sicherheitsmaßnahme, mit der Benutzer im Falle eines Verlusts oder eines kompromittierten Geräts wieder auf ihre digitalen Assets zugreifen können. Wenn diese Phrasen in die falschen Hände geraten, können Bedrohungsakteure Geld aus den betroffenen Wallets transferieren, sodass die Opfer kaum oder gar keine Möglichkeit haben, es wiederherzustellen.

Neben den finanziellen Verlusten wirft SparkCats Angriff auch allgemeinere Bedenken hinsichtlich der App-Sicherheit auf. Die Tatsache, dass diese Malware sowohl Apples App Store als auch Google Play infiltrieren konnte, unterstreicht mögliche Lücken in den Prüfprozessen für veröffentlichte Anwendungen. Benutzer, die sich in Bezug auf die Sicherheit auf offizielle App Stores verlassen, sind möglicherweise nicht immer vor ausgeklügelten Bedrohungen wie SparkCat sicher.

Wer steckt hinter SparkCat?

Eine Analyse der Funktionalität der Malware, der Schlüsselwortauswahl und der Verbreitungsregionen lässt darauf schließen, dass die Kampagne in erster Linie auf Benutzer in Europa und Asien abzielt. Darüber hinaus haben Forscher darauf hingewiesen, dass die für SparkCat verantwortlichen Personen fließend Chinesisch sprechen, was auf eine mögliche Herkunftsregion der Angreifer hindeutet. Die endgültige Zuordnung ist jedoch noch nicht abgeschlossen.

Eines der charakteristischen Merkmale von SparkCat ist seine Fähigkeit, diskret zu agieren. Die von den infizierten Apps angeforderten Berechtigungen erscheinen harmlos und stimmen oft mit ihren angeblichen Funktionen überein. Dieser irreführende Ansatz macht es für Benutzer schwierig, das Vorhandensein einer versteckten Bedrohung in der von ihnen heruntergeladenen Software zu erkennen.

Lehren aus SparkCat und neuen Bedrohungen

Das Auftauchen von SparkCat unterstreicht, wie wichtig Wachsamkeit bei der Installation von Anwendungen ist, selbst aus offiziellen Quellen. Cybersicherheitsexperten empfehlen, App-Berechtigungen gründlich zu überprüfen, Benutzerbewertungen genau zu studieren und die Legitimität der Entwickler zu verifizieren, bevor man neue Software herunterlädt. Da Cyberkriminelle ihre Taktiken immer weiter verfeinern, müssen Benutzer beim Schutz ihrer vertraulichen Informationen vorsichtig und proaktiv bleiben.

Aktuelle Trends deuten auch auf eine steigende Zahl von Bedrohungen hin, die auf macOS-Systeme und Mobilgeräte abzielen. Die wachsende Popularität von Kryptowährungen und digitalen Vermögenswerten hat sie zu einem attraktiven Ziel für Cyberkriminelle gemacht, was die Notwendigkeit verbesserter Sicherheitspraktiken weiter unterstreicht. SparkCat ist eine deutliche Erinnerung daran, dass selbst etablierte digitale Plattformen nicht immun gegen neue Bedrohungen sind.

Reaktion der Industrie und Schutzmaßnahmen

Nach der Entdeckung von SparkCat haben sowohl Apple als auch Google Maßnahmen ergriffen, um die anstößigen Anwendungen aus ihren jeweiligen Stores zu entfernen. Ab Anfang Februar 2025 stehen diese Apps nicht mehr zum Download zur Verfügung. Google hat außerdem bestätigt, dass Android-Benutzer durch die Funktion „Play Protect“ automatisch vor bekannten Versionen dieser Malware geschützt sind.

Diese Maßnahmen mindern zwar einige der unmittelbaren Risiken, Benutzer, die zuvor eine der betroffenen Anwendungen installiert haben, sollten jedoch proaktiv Maßnahmen ergreifen, um ihre Geräte zu schützen. Um den potenziellen Schaden zu minimieren, empfiehlt es sich, Kryptowährungs-Wallets auf unbefugten Zugriff zu überprüfen, verdächtige Apps zu entfernen und die Sicherheitseinstellungen zu aktualisieren.

Fazit

Die SparkCat-Malware-Kampagne veranschaulicht die zunehmende Raffinesse von Cyberbedrohungen, die auf Benutzer von Kryptowährungen abzielen. Indem sie Schwachstellen in App Stores ausnutzen und fortschrittliche OCR-Techniken einsetzen, haben Angreifer ein neues Maß an Einfallsreichtum beim digitalen Diebstahl bewiesen. Um die digitale Sicherheit aufrechtzuerhalten, ist es in Zukunft unerlässlich, über neu entstehende Bedrohungen informiert zu bleiben und strenge Cybersicherheitspraktiken einzuführen.