OCR-Spyware in PlayStore- und AppStore-Apps stiehlt sensible Daten

Eine neue Malware-Kampagne namens SparkCat nimmt sowohl Android- als auch iOS-Nutzer ins Visier. Der Schadcode wurde in ver­schie­de­nen Apps versteckt, die über die offiziellen Stores verfügbar sind und soll wichtige Informationen stehlen.

Ziel sind Krypto-Wallets

Entdeckt wurde das Problem durch Sicherheitsforscher des Unternehmens Eset. Die SparkCat-Kampagne, die erstmals Ende 2024 auftrat, baut auf Erkenntnissen einer früheren Untersuchung von Eset im März 2023 auf, bei der schädliche Implantate in modifizierten Messaging-Apps gefunden wurden, hieß es.

Die Angreifer haben hier ein bösartiges Software Development Kit (SDK) in verschiedene Apps eingeschleust, das gezielt die OCR-Technologie einsetzt. So wird der Text in Bildern analysiert, um Schlüsselwörter zu identifizieren, die auf Wiederherstellungsphrasen von Kryptowährungs-Wallets hindeuten. Die gestohlenen Informationen werden anschließend über einen eigens entwickelten Kommunikationskanal an einen Command-and-Control (C2)-Server übermittelt.


Einige der infizierten Apps waren laut Eset sogar in offiziellen Stores wie Google Play und dem Apple App Store verfügbar - das heißt, dass erstmals ein Stealer dieser Art in Apples offiziellem Store entdeckt und nicht von den Sicherheitsmaßnahmen gefunden wurde.

Ein exemplarisches Beispiel ist die App "ComeCome", eine Essenslieferungs-App, die in den Vereinigten Arabischen Emiraten und Indonesien verfügbar war und über 10.000 Downloads verzeichnen konnte. In dieser App wurde der verdächtige SDK-Code entdeckt, der beim Start der Anwendung eine Konfigurationsdatei von einem GitLab-Server herunterlud.

Ungewöhnliche Sprache

Diese Datei, die in JSON-Format vorliegt und mittels Base64-Codierung sowie AES-Verschlüsselung verarbeitet wird, bestimmt, welcher C2-Kanal - entweder über ein http-basiertes oder über ein eigens in Rust entwickeltes Protokoll - genutzt wird. Letzteres fällt besonders auf, da Rust für mobile Apps ungewöhnlich ist und darauf hinweist, dass die Angreifer innovative Techniken einsetzen.

Zusätzlich zum OCR-Scan implementiert das Malware-SDK mehrere Prozesse, die gezielt Bilder filtern und anhand von Schlüsselwörtern in verschiedenen Sprachen - darunter Chinesisch, Japanisch, Koreanisch, Englisch und weitere - entscheiden, welche Bilder an den C2-Server übertragen werden sollen. Insgesamt wurden infizierte Apps bisher über 242.000 Mal heruntergeladen, wobei die Malware sowohl über offizielle als auch inoffizielle Kanäle verbreitet wird.

Siehe auch: