Find similar content

🐈SparkCat: OCR-воры криптокошельков в Google Play и App Store. • В конце 2024 года исследователи "Лаборатория Касперского" обнаружили вредоносную кампанию, которую назвали SparkCat - это первый известный случай попадания стилера в App Store. Что примечательно, так это то, что SparkCat позволяет красть данные с фотографий, хранящихся на устройстве. • Если совсем коротко, то логика работы вредоноса следующая: ➡В App Store и Google Play загружаются приложения, в которые встроен вредоносный SDK/фреймворк для кражи фраз для восстановления доступа к криптокошелькам. Вредоносный модуль для Android расшифровывал и запускал OCR-плагин на основе библиотеки Google ML Kit, с помощью которого распознавал текст на картинках в галерее устройства. По ключевым словам, получаемым с С2, троянец отправлял картинки на командный сервер. Вредоносный модуль для iOS был устроен схожим образом и также использовал библиотеку Google ML Kit для OCR. • Кстати, из Google Play зараженные приложения скачали более242 000 раз. Еще было обнаружено, что SparkCat использовал для взаимодействия с С2 неопознанный протокол, реализованный на редком для мобильных приложений языке Rust. Согласно временным меткам в файлах зловреда и датам создания файлов конфигураций в репозиториях на GitLab, SparkCat был активен с марта 2024 года. • Во время анализа Android-приложений было обнаружено, что С2-сервер в ответ на некорректные запросы возвращает описание ошибок на китайском языке. Это, а также имя домашней папки разработчика фреймворка, полученное в ходе анализа iOS-версии, дает основания полагать, что разработчик вредоносного модуля свободно владеет китайским языком. • По итогу мы имеем следующую картину — злоумышленники крадут фразы для восстановления доступа к криптокошелькам, которых достаточно, чтобы получить полный контроль над кошельком жертвы для дальнейшей кражи средств. Гибкость зловреда позволяет ему воровать не только секретные фразы, но и другие личные данные из галереи, например содержание сообщений или пароли, которые могли остаться на скриншотах. #SparkCat#Malware

iOS 第三方 #Telegram 客户端 #Nicegram 内含病毒，如有安装记得卸载 卡巴斯基发现大量应用内含恶意SDK，窃取加密货币钱包信息 2025年2月5日 —— 卡巴斯基实验室近日发布安全报告，揭示 Google Play 和 Apple App Store 上多款应用内含恶意SDK “ #SparkCat ”，该SDK可窃取 加密货币钱包 助记词 和 恢复密钥 ，进而盗取用户资产。这是首次在 iOS 平台 发现利用 OCR 光学识别 技术窃取加密钱包信息的恶意应用。 恶意应用影响范围广泛 • 受影响的 Android 应用下载量超过 24.2 万次。 • iOS 应用下载量未知，但同样面临风险。 • 黑客主要针对 中文、日文、韩文、拉丁文 用户，攻击范围可能覆盖全球。 恶意SDK的攻击方式 1. 用户安装受感染应用后，应用会扫描屏幕上的加密钱包助记词或恢复密钥。 2. 通过 OCR 技术识别并提取关键信息。 3. 通过黑客控制的服务器将数据发送出去（C2 服务器域名仿冒 阿里云 aliyung[.]com / aliyung[.]org）。 4. 攻击者利用窃取的数据恢复用户钱包并 清空资产。 部分受感染应用名单 #Android 应用包名 • com.crownplay.vanity.address • com.atvnewsonline.app • com.bintiger.mall.android • com.websea.exchange • org.safew.messenger • org.safew.messenger.store • com.tonghui.paybank • com.bs.feifubao • com.sapp.chatai • com.sapp.starcoin #iOS 应用包名 • im.pop.app.iOS.Messenger • com.hkatv.ios • com.atvnewsonline.app • io.zorixchange • com.yykc.vpnjsq • com.llyy.au • com.star.har91vnlive • com.jhgj.jinhulalaab • com.qingwa.qingwa888lalaaa • com.blockchain.uttool • com.wukongwaimai.client • com.unicornsoft.unicornhttpsforios • staffs.mil.CoinPark • com.lc.btdj • com.baijia.waimai • com.ctc.jirepaidui • com.ai.gbet • app.nicegram 第三方 Telegram • com.blockchain.ogiut • com.blockchain.98ut • com.dream.towncn • com.mjb.Hardwood.Test • njiujiu.vpntest • com.qqt.jykj • com.ai.sport • com.feidu.pay • app.ikun277.test • com.usdtone.usdtoneApp2 • com.cgapp2.wallet0 • com.bbydqb • com.yz.Byteswap.native • jiujiu.vpntest • com.wetink.chat • com.websea.exchange • com.customize.authenticator • im.token.app • com.mjb.WorldMiner.new • com.kh-super.ios.superapp • com.thedgptai.event • com.yz.Eternal.new • xyz.starohm.chat • com.crownplay.luckyaddress1 应对措施 1. 检查设备 是否安装了受感染应用，若发现请 立即卸载。 2. 更换钱包 并将资产转移到 全新钱包，避免被盗。 3. 启用安全防护，使用 2FA（双因素认证） 和 硬件钱包 保护资金。 4. 谨慎下载应用，尽量选择官方渠道，并关注应用权限。 此次恶意SDK事件表明，即便是官方应用商店，也难以完全杜绝恶意软件的潜伏。用户应提高警惕，谨慎管理加密资产。 SparkCat crypto stealer in Google Play and App Store from securelist.com

⚠️ 紧急通告 ⚠️ 安装以下App的，请立刻卸载并更换您的加密钱包。 主要App: 悟空外卖 菲度 Nicegram 外卖App也被曝涉嫌盗U和获取用户相册 近期，网络安全公司卡巴斯基（Kaspersky）发布警告，揭露在App Store和Google Play平台上发现的多个应用程序遭遇恶意软件“SparkCat”入侵，其中包括泰国知名外卖平台“悟空外卖”（Wukong Waimai）。此恶意软件通过扫描用户设备中的相册窃取个人隐私信息，甚至可能盗取虚拟货币和银行账户密码。 卡巴斯基的研究人员表示，“SparkCat”恶意软件在用户授权后，会请求访问设备中的图片和截图。软件利用光学字符识别（OCR）技术扫描相册中的内容，筛选出敏感信息，如聊天记录、银行账号、信用卡信息等，甚至可能盗走用户的虚拟货币，给用户带来严重的经济损失。 泰国悟空外卖App也在此次受影响的应用程序之列，许多用户表示，他们曾不明原因遭遇盗窃，现在才意识到问题与悟空外卖App有关。 目前，卡巴斯基已公布受影响应用的完整名单，其中包括43款来自App Store的应用和10款来自Google Play的应用，除了悟空外卖，其他涉及的应用还包括ATV亚洲电视、VPN加速器和一些区块链相关应用等。 网络安全专家提醒，用户应谨慎下载和使用来历不明的应用程序，定期检查设备权限设置，以防止隐私泄露和经济损失。 iOS第三方Telegram客户端 #Nicegram 内含病毒，如有安装记得卸载 卡巴斯基发现大量应用内含恶意SDK，窃取加密货币钱包信息 2025年2月5日 —— 卡巴斯基实验室近日发布安全报告，揭示 Google Play 和 Apple App Store 上多款应用内含恶意SDK “ #SparkCat ”，该SDK可窃取 加密货币钱包 助记词 和 恢复密钥 ，进而盗取用户资产。这是首次在 iOS 平台 发现利用 OCR 光学识别 技术窃取加密钱包信息的恶意应用。 恶意应用影响范围广泛 • 受影响的 Android 应用下载量超过 24.2 万次。 • iOS 应用下载量未知，但同样面临风险。 • 黑客主要针对 中文、日文、韩文、拉丁文 用户，攻击范围可能覆盖全球。 恶意SDK的攻击方式 1. 用户安装受感染应用后，应用会扫描屏幕上的加密钱包助记词或恢复密钥。 2. 通过 OCR 技术识别并提取关键信息。 3. 通过黑客控制的服务器将数据发送出去（C2 服务器域名仿冒 阿里云 aliyung[.]com / aliyung[.]org）。 4. 攻击者利用窃取的数据恢复用户钱包并 清空资产。 部分受感染应用名单 #Android 应用包名 • com.crownplay.vanity.address • com.atvnewsonline.app • com.bintiger.mall.android • com.websea.exchange • org.safew.messenger • org.safew.messenger.store • com.tonghui.paybank • com.bs.feifubao • com.sapp.chatai • com.sapp.starcoin #iOS 应用包名 • im.pop.app.iOS.Messenger • com.hkatv.ios • com.atvnewsonline.app • io.zorixchange • com.yykc.vpnjsq • com.llyy.au • com.star.har91vnlive • com.jhgj.jinhulalaab • com.qingwa.qingwa888lalaaa • com.blockchain.uttool • com.wukongwaimai.client • com.unicornsoft.unicornhttpsforios • staffs.mil.CoinPark • com.lc.btdj • com.baijia.waimai • com.ctc.jirepaidui • com.ai.gbet • app.nicegram 第三方 Telegram • com.blockchain.ogiut • com.blockchain.98ut • com.dream.towncn • com.mjb.Hardwood.Test • njiujiu.vpntest • com.qqt.jykj • com.ai.sport • com.feidu.pay • app.ikun277.test • com.usdtone.usdtoneApp2 • com.cgapp2.wallet0 • com.bbydqb • com.yz.Byteswap.native • jiujiu.vpntest • com.wetink.chat • com.websea.exchange • com.customize.authenticator • im.token.app • com.mjb.WorldMiner.new • com.kh-super.ios.superapp • com.thedgptai.event • com.yz.Eternal.new • xyz.starohm.chat • com.crownplay.luckyaddress1 应对措施 1. 检查设备 是否安装了受感染应用，若发现请 立即卸载。 2. 更换钱包 并将资产转移到 全新钱包，避免被盗。 3. 启用安全防护，使用 2FA（双因素认证） 和 硬件钱包 保护资金。 4. 谨慎下载应用，尽量选择官方渠道，并关注应用权限。 此次恶意SDK事件表明，即便是官方应用商店，也难以完全杜绝恶意软件的潜伏。用户应提高警惕，谨慎管理加密资产。