Einführung in die SparkKitty Spyware
Eine mobile Spyware-Kampagne namens SparkKitty ist erneut in den Fokus gerückt, nachdem Berichte darauf hinwiesen, dass infizierte iOS- und Android-Apps die in Telefon-Galerien gespeicherten Wiederherstellungsphrasen von Krypto-Wallets offenlegen können. Die Malware erhält Zugriff auf Fotos, sammelt Bilder und sendet sie an von Angreifern kontrollierte Server.
Hintergrund und Entdeckung
Diese Bedrohung ist jedoch keine neu entdeckte Gefahr, sondern wurde bereits im Juli 2026 identifiziert. Kaspersky veröffentlichte am 23. Juni 2025 einen technischen Bericht, in dem SparkKitty im App Store von Apple, im Google Play Store und über inoffizielle Kanäle gefunden wurde. Ein aktueller Artikel von Cyberint hat das Interesse an dieser Malware-Familie erneut geweckt.
Kaspersky stellte eine Verbindung zwischen SparkKitty und SparkCat her, einem früheren mobilen Stealer, der optische Zeichenerkennung (OCR) verwendete, um Screenshots nach Wallet-Seed-Phrasen zu durchsuchen. SparkKitty nutzte ähnliche Zustellmethoden, jedoch luden viele Proben Galerie-Bilder hoch, anstatt nur Dateien mit Wiederherstellungswörtern auszuwählen.
Technische Details und Funktionsweise
NEU: Check Point hat Malware namens „SparkKitty“ identifiziert, die in mobilen Apps eingebettet ist und aktiv Ihre Fotobibliothek nach Seed-Phrasen für Krypto-Wallets durchsucht. Wenn Ihr Seed in einem Screenshot gespeichert ist, ist er bereits kompromittiert.
Forscher fanden auch einen verwandten Cluster, der OCR verwendete, um spezifische Bilder auszuwählen. Die Malware könnte daher Passwörter, Identitätsdokumente und QR-Codes offenlegen. Kaspersky erklärte, dass sie „glauben“, dass das Hauptziel Krypto-Assets betrifft, während sie anmerkten, dass einige Proben keinen direkten Beweis lieferten.
Die Kampagne war seit mindestens Februar 2024 aktiv und zielte hauptsächlich auf Südostasien und China ab. Wie crypto.news im Juni 2025 berichtete, verbreitete sie sich durch gefälschte Krypto-Tools, modifizierte soziale Apps, Glücksspielprodukte und andere Anwendungen.
Verbreitung und Entdeckungen
Im April 2026 berichtete Kaspersky von einer neuen SparkCat-Variante in zwei App Store-Apps und einer Google Play-App. Diese Entdeckung zeigte die fortgesetzte Nutzung von OCR-basiertem Galerie-Diebstahl, bestätigte jedoch nicht, dass SparkKitty selbst zurückgekehrt war.
Auf iOS fanden Forscher bösartigen Code in modifizierten Frameworks, die gängige Entwicklungsbibliotheken imitierten, darunter AFNetworking und Alamofire. Andere Versionen versteckten die Nutzlast in einer obfuskierten Datei namens libswiftDarwin.dylib oder platzierten sie direkt in einer Anwendung.
Nach dem Start kontaktierte die Malware die entfernte Infrastruktur und forderte Zugriff auf die Fotogalerie an. Sobald ein Benutzer die Anfrage genehmigte, überwachte sie Fotos und lud Dateien hoch, die sie zuvor nicht gesendet hatte. Sie konnte auch neu hinzugefügte Bilder sammeln.
Auf Android erschien SparkKitty in Java- und Kotlin-Versionen. Einige Proben funktionierten als Xposed-Module auf gerooteten Geräten. Sie kontaktierten Befehlsserver und übertrugen Bilder mit Informationen über das infizierte Gerät und die Anwendung.
Risiken und Empfehlungen
Wie crypto.news im Juni 2026 berichtete, verfolgte Microsoft separate Clipper-Malware, die die Zwischenablage überwachte, Wallet-Anmeldeinformationen stahl und Backdoor-Befehle unterstützte. Kaspersky fand eine Android-Nachrichten-App mit Krypto-Börsenfunktionen im Google Play Store. Die App mit dem Namen SOEX verzeichnete mehr als 10.000 Installationen, bevor Google sie nach Erhalt des Berichts des Forschers entfernte.
Das Team fand auch eine iOS-Krypto-App namens 币coin im App Store von Apple. Kaspersky informierte Apple und aktualisierte seinen Bericht am 25. Juni 2025, um zu bestätigen, dass Apple die App entfernt hatte. Die Forscher konnten nicht feststellen, ob die Entwickler die Malware wissentlich hinzugefügt hatten.
Benutzer sollten Seed-Phrasen nicht in Screenshots, Cloud-Alben, E-Mail-Entwürfen oder Notizen-Apps aufbewahren. Der Krypto.news Wallet-Leitfaden 2026 empfiehlt, die Phrase auf Papier zu schreiben oder sie auf Metall aufzuzeichnen und dann offline sicher zu lagern.
Benutzer sollten die Foto-Berechtigungen überprüfen und den Zugriff von Apps entfernen, die ihn nicht benötigen. Sie sollten inoffizielle Stores, modifizierte Apps und unbekannte Download-Links vermeiden. Ein offizieller Eintrag verringert einige Risiken, beseitigt jedoch nicht die Notwendigkeit, den Entwickler und die angeforderten Berechtigungen zu überprüfen.
Schlussfolgerung
Aktuelle Berichte haben die Warnung rund um SparkKitty erneuert, aber der öffentliche technische Bericht verfolgt die Kampagne bis zur Offenlegung von Kaspersky im Jahr 2025 und nicht bis zu einer neuen Entdeckung im Juli 2026. Jeder, der glaubt, dass SparkKitty eine Seed-Phrase offengelegt hat, sollte eine neue Wallet auf einem sauberen Gerät erstellen und verbleibende Vermögenswerte sofort übertragen. Der Benutzer sollte dann die verdächtige App entfernen, das Gerät aktualisieren und die in Galerie-Bildern gespeicherten Anmeldeinformationen rotieren.
