Eine mobile Spyware-Kampagne namens SparkKitty ist wieder in den Fokus gerückt, nachdem Berichte warnten, dass infizierte iOS- und Android-Apps in Telefongalerien gespeicherte Crypto-Wallet-Wiederherstellungsphrasen offenlegen können.
Zusammenfassung
- SparkKitty stiehlt Galeriebilder und sucht nach digital gespeicherten Wallet-Seed-Phrasen, Passwörtern und anderen sensiblen Informationen.
- Bösartige iOS- und Android-Apps erreichten offizielle Stores, während sideloaded Versionen die Kampagne weiter ausdehnten.
- Forscher empfehlen Offline-Seed-Speicherung, eingeschränkte Fotoberechtigungen und sofortige Wallet-Migration nach einem vermuteten Datenleck.
Die Malware erhält Foto-Zugriff, sammelt Bilder und sendet sie an von Angreifern kontrollierte Server.
Dies ist jedoch keine neu entdeckte Bedrohung vom Juli 2026. Kaspersky veröffentlichte am 23. Juni 2025 einen technischen Bericht, nachdem SparkKitty im Apple App Store, bei Google Play und in inoffiziellen Kanälen gefunden wurde. Ein aktueller Cyberint-Artikel hat die Aufmerksamkeit auf dieselbe Malware-Familie gelenkt.
SparkKitty-Kampagne reicht bis 2024 zurück
Kaspersky verband SparkKitty mit SparkCat, einem früheren mobilen Stealer, der optische Zeichenerkennung nutzte, um Screenshots nach Wallet-Seed-Phrasen zu durchsuchen. SparkKitty verwendete ähnliche Verbreitungsmethoden, aber viele Proben luden Galeriebilder hoch, anstatt nur Dateien mit Wiederherstellungswörtern auszuwählen.
Forscher fanden auch einen verwandten Cluster, der OCR zur Auswahl bestimmter Bilder verwendete. Die Malware könnte daher Passwörter, Ausweisdokumente und QR-Codes offenlegen. Kaspersky sagte, man "glaube", dass das Hauptziel Krypto-Assets betraf, während einige Proben keinen direkten Beweis lieferten.
Die Kampagne war seit mindestens Februar 2024 aktiv und zielte hauptsächlich auf Südostasien und China ab. Wie crypto.news im Juni 2025 berichtete, verbreitete sie sich über gefälschte Krypto-Tools, modifizierte soziale Apps, Glücksspielprodukte und andere Anwendungen.
Im April 2026 berichtete Kaspersky über eine neue SparkCat-Variante in zwei App-Store-Apps und einer Google-Play-App. Dieser Fund zeigte die fortgesetzte Nutzung von OCR-basiertem Galerie-Diebstahl, bestätigte jedoch nicht, dass SparkKitty selbst zurückgekehrt war.
Malware nutzt Fotoberechtigungen zum Datendiebstahl
Unter iOS fanden Forscher bösartigen Code in modifizierten Frameworks, die gängige Entwicklungsbibliotheken wie AFNetworking und Alamofire imitierten. Andere Versionen versteckten die Nutzlast in einer obfuskierten Datei namens libswiftDarwin.dylib oder platzierten sie direkt in einer Anwendung.
Dieser Ansatz unterscheidet sich von Malware, die Tastatureingaben aufzeichnet oder kopierte Wallet-Adressen ersetzt. Wie crypto.news im Juni 2026 berichtete, verfolgte Microsoft separate Clipper-Malware, die die Zwischenablage überwachte, Wallet-Zugangsdaten stahl und Backdoor-Befehle unterstützte.
Infizierte Apps erreichten offizielle Stores
Kaspersky fand eine Android-Messaging-App mit Krypto-Börsenfunktionen bei Google Play. Die App namens SOEX verzeichnete mehr als 10.000 Installationen, bevor Google sie nach Erhalt des Forscherberichts entfernte.
Das Team fand auch eine iOS-Krypto-App namens 币coin im Apple App Store. Kaspersky alarmierte Apple und aktualisierte seinen Bericht am 25. Juni 2025, um mitzuteilen, dass Apple die App entfernt hatte. Forscher stellten nicht fest, ob die Entwickler die Malware wissentlich eingefügt hatten.
Andere Versionen verbreiten sich über gefälschte Websites, modifizierte TikTok-Apps, Glücksspielprodukte und direkt installierte Android-Pakete. Einige iPhone-Kampagnen missbrauchten Enterprise-Provisioning-Tools, mit denen Organisationen interne Apps außerhalb des öffentlichen App Stores verteilen können.
Die neuesten Berichte belegen nicht, dass die genannten Anwendungen im Juli 2026 in die offiziellen Stores zurückgekehrt sind. Sie liefern auch keine bestätigte Opferzahl oder Gesamtkryptoverluste. Die ursprünglichen Einträge wurden entfernt, während sideloaded Kopien möglicherweise noch im Umlauf sind.
Offline-Speicherung von Seed-Phrasen bleibt die wichtigste Verteidigung
Eine Seed-Phrase enthält normalerweise 12 oder 24 Wörter, mit denen jeder private Schlüssel wiederhergestellt werden kann, der mit einer Self-Custody-Wallet verbunden ist. Jeder, der diese Wörter erhält, kann die Wallet neu erstellen und deren Vermögenswerte übertragen. Das Ändern eines App-Passworts kann eine offengelegte Wiederherstellungsphrase nicht sichern.
Benutzer sollten Seed-Phrasen nicht in Screenshots, Cloud-Alben, E-Mail-Entwürfen oder Notiz-Apps aufbewahren. Der crypto.news 2026 Wallet-Leitfaden empfiehlt, die Phrase auf Papier zu schreiben oder auf Metall aufzuzeichnen und dann sicher offline zu lagern.
Benutzer sollten Fotoberechtigungen überprüfen und den Zugriff von Apps entfernen, die diese nicht benötigen. Sie sollten inoffizielle Stores, modifizierte Apps und unbekannte Download-Links vermeiden. Eine offizielle Listung verringert einige Risiken, hebt jedoch nicht die Notwendigkeit auf, den Entwickler und die angeforderten Berechtigungen zu überprüfen.
Jeder, der glaubt, dass SparkKitty eine Seed-Phrase offengelegt hat, sollte auf einem sauberen Gerät eine neue Wallet erstellen und verbleibende Vermögenswerte sofort übertragen. Der Benutzer sollte dann die verdächtige App entfernen, das Gerät aktualisieren und in Galeriebildern gespeicherte Anmeldeinformationen ändern.
Aktuelle Berichte haben die Warnung bezüglich SparkKitty erneuert, aber die öffentliche technische Aufzeichnung führt die Kampagne auf Kasperskys Offenlegung von 2025 zurück, nicht auf eine neue Entdeckung im Juli 2026.
