SparkKitty-Malware in App-Stores zielt auf Krypto-Wallet-Seed-Phrasen ab

Ein neuer Bericht des Cybersicherheitsunternehmens Check Point beschreibt detailliert, wie die SparkKitty-Malware-Kampagne Kryptowährungsnutzer ins Visier nahm, indem sie auf infizierten Android- und iPhone-Geräten gespeicherte Fotos nach Wallet-Wiederherstellungsphrasen und anderen sensiblen Informationen durchsuchte.

Erstmals entdeckt von Kaspersky im Juni 2025, beschrieb die Analyse von Check Point detailliert, wie sich die Malware über den Apple App Store, Google Play und Drittanbieter-App-Stores verbreitete.

„Was SparkKitty besonders bemerkenswert macht, ist seine Präsenz sowohl im Apple App Store als auch bei Google Play, was ihm eine breite Angriffsfläche verschafft“, schrieb Check Point. „Der Bedrohungsakteur hinter SparkKitty verbreitete trojanisierte Anwendungen, die als legitime Kryptowährungstools, Messaging-Plattformen und sogar Unterhaltungs-Apps getarnt waren – was die Wahrscheinlichkeit einer Installation durch ahnungslose Nutzer erheblich erhöhte.“

Nachdem die Nutzer Zugriff auf ihre Fotobibliotheken gewährt hatten, durchsuchte die Malware gespeicherte Bilder nach Wallet-Wiederherstellungsphrasen und anderen sensiblen Informationen, bevor sie die Daten auf von Angreifern kontrollierte Server hochlud.

Auf iOS wurde SparkKitty über eine Kryptowährungs-App namens „币coin“ verbreitet, die im Apple App Store verfügbar war. Check Point sagte, die App habe ihren bösartigen Code versteckt, um den Überprüfungsprozess von Apple zu umgehen, bevor sie Zugriff auf die Fotobibliotheken der Nutzer anforderte. Auf Android erschien die Malware in einer Messaging- und Kryptowährungsaustausch-App namens SOEX, die mehr als 10.000 Mal aus Google Play heruntergeladen wurde, bevor sie entfernt wurde. Andere Varianten wurden über Drittanbieter-App-Stores, gefälschte TikTok-Apps, Glücksspiel-Apps und sideloaded APKs verbreitet.

Im Gegensatz zu vielen Informationsdieben, die auf Clipboard-Überwachung oder Keylogging setzen, durchsuchte SparkKitty direkt die Fotobibliotheken der Nutzer, was Screenshots von Wallet-Wiederherstellungsphrasen zu einem Hauptziel machte.

Forscher empfehlen, Wallet-Wiederherstellungsphrasen offline zu halten, anstatt sie als Screenshots zu speichern, die Berechtigungen für Fotobibliotheken auf vertrauenswürdige Apps zu beschränken und Software nur von seriösen Entwicklern herunterzuladen.

Der Bericht folgt auf eine Reihe von Malware-Kampagnen, die sich gegen Kryptowährungsnutzer richten. Im März deckte Google die DarkSword-Exploit-Kette auf, die die Ghostblade-Malware einsetzte, die in der Lage ist, große Kryptowährungsbörsen und Wallet-Apps anzugreifen und dabei Nachrichten, Passwörter, Fotos und andere Daten von anfälligen iPhones zu stehlen. Im selben Monat leitete das FBI eine Untersuchung ein, nachdem festgestellt wurde, dass mehrere über Valves Steam-Plattform vertriebene Spiele – darunter „Chemia“, „PirateFi“ und „Tokenova“ – Malware installierten.

Im Mai veröffentlichte das KI-Startup Perplexity Bumblebee als Open Source, ein Sicherheitstool, das darauf ausgelegt ist, kompromittierte Softwarepakete, Browsererweiterungen und KI-Connector-Konfigurationen zu erkennen, ohne potenziell bösartigen Code auszuführen, nachdem ein Software-Lieferkettenangriff mehr als 160 Entwicklerpakete betroffen hatte.

Im Juni berichtete Kaspersky, dass Angreifer Steam Workshop nutzten, um bösartige Wallpaper Engine-Downloads zu verbreiten, die als Anime-Desktop-Hintergründe getarnt waren. Die Kampagne setzte Lumma- und Vidar-Infostealer ein, Malware, die häufig zum Stehlen von Browser-Anmeldedaten und Kryptowährungs-Wallet-Daten verwendet wird.