Krypto-Wallets als Ziel: Schadsoftware mit Texterkennung im App Store

Sowohl im Google Play Store als auch im App Store für iOS und iPadOS wurden mit Schadsoftware versetzte Apps gefunden. Diese nutzen im Rahmen der „SparkCat“ genannten Malware-Kampagne zum ersten Mal die Texterkennung auf Bilddateien (OCR), um von diesen sensible Daten auszulesen. Das Ziel sind vor allem Krypto-Wallets, deren Wiederherstellungsschlüssel in Form eines Screenshots gespeichert wurden. Die Apps geben sich z. B. als KI-Werkzeuge aus und verlangen Zugriff auf die Fotos des iPhones, iPads oder Android-Geräts. Aufgedeckt wurde dies von SecureList / Kaspersky.

SparkCat soll seit März 2024 aktiv genutzt werden

OCR-Malware, die Text von Bildern und Screenshots ausliest, ist bereits seit zwei Jahren bekannt. Im März 2023 wurde solche Schadsoftware bereits für Windows und Android verbreitet. Ende 2024 wurde aber eine neue Welle dieser Art Information-Stealer gefunden. Zeitstempel in deren Code lässt die Annahme zu, dass sie bereits seit März 2024 entwickelt und verbreitet werden. Diese neue Malware-Kampagne, die nun auf Android und iOS abzielt, wurde SparkCat genannt. Sie wird auf der SecureList-Webseite ausführlich erklärt und analysiert.

Es ist dem Bericht nach unklar, ob die mit dem Stealer-Code infizierten Apps absichtlich von den originalen Developern damit ausgestattet wurden. Es kann nämlich auch sein, dass die Codes und Frameworks für das Auslesen von Bildern sowie das Zurückschicken von sensiblen Informationen an die Cyberkriminellen erst später eingefügt wurden. Letztendlich zeigen die Fälle, dass nicht nur im App-Vertrieb einige Sicherheitslücken zu schließen sind, sondern dass die Überprüfung von Apps für den Google Play Store und den iPhone App Store nicht perfekt ist.

Hinweise darauf gefunden, dass die Kampagne von China ausgeht

Während der Analyse der betroffenen Apps (s. u.) wurden mehrere Hinweise darauf gefunden, dass die Malware von Cyberkriminellen aus China gestreut wurde. So enthielt der Code der Apps etwa Kommentare auf Chinesisch. Fehler-Meldungen, die vom Server gesendet wurden, zu dem die gesammelten Infos abgeflossen sind, waren ebenfalls auf Chinesisch. Auch weitere Hinweise aus der Analyse geben Grund zur Annahme, dass der oder die Developer hinter SparkCat fließend Chinesisch sprechen.

Diese Apps sollten vom iPhone, Android-Gerät, Mac und PC gelöscht werden

• ComeCome – Chinese Food Delivery
• ChatAi
• WeTink
• AnyGPT

Wie kann man sich vor OCR- und Stealer-Malware schützen?

Als erstes sollten die genannten Apps deinstalliert werden, falls sie auf einem der eigenen Endgeräte installiert sind. Weiterhin sollten keine Passwörter, Wiederherstellungscodes, -fragen oder -schlüssel als Screenshot oder als Klartext (in den Notizen, einem Textdokument o. ä.) gespeichert werden. Passwörter und andere Sicherheitsschlüssel gehören in einen sicheren Passwort-Manager, zum Beispiel in das Apple-eigene Angebot für iPhone, iPad und Mac.

Johannes Domke

Johannes hat nach dem Abitur eine Ausbildung zum Wirtschaftsassistenten in der Fachrichtung Fremdsprachen absolviert. Danach hat er sich aber für das Recherchieren und Schreiben entschieden, woraus seine Selbstständigkeit hervorging. Seit mehreren Jahren arbeitet er nun u. a. für Sir Apfelot. Seine Artikel beinhalten Produktvorstellungen, News, Anleitungen, Videospiele, Konsolen und einiges mehr. Apple Keynotes verfolgt er live per Stream.