Ein neuer Malware-Stamm namens SparkKitty wurde sowohl im Apple App Store als auch im Google Play Store entdeckt. Er stiehlt Krypto-Seed-Phrasen, indem er auf den Geräten gespeicherte Fotos scannt. Die Entdeckung unterstreicht einen anhaltenden blinden Fleck in der Sicherheit von mobilen Apps – selbst offizielle Stores können bösartigen Code beherbergen.
So funktioniert SparkKitty
SparkKitty arbeitet im Verborgenen. Nach der Installation durchsucht es die Fotobibliothek eines Geräts nach Bildern, die Seed-Phrasen enthalten – die 12- oder 24-Wort-Schlüssel, die zur Wiederherstellung von Krypto-Wallets verwendet werden. Wenn es eine findet, wird die Phrase an einen entfernten Server übertragen. Der Angreifer kann dann jedes Wallet leeren, das mit diesem Seed verbunden ist. Die Malware muss den Benutzer nicht dazu verleiten, etwas einzugeben; sie liest einfach, was bereits auf dem Telefon ist.
Das Problem mit den App-Stores
Sowohl Apple als auch Google führen automatisierte und manuelle Überprüfungen durch, bevor sie Apps genehmigen. SparkKitty hat diese Prüfungen umgangen. Das ist nicht das erste Mal – bösartige Apps schlüpfen alle paar Monate durch –, aber es ist eine Erinnerung daran, dass die Überprüfung der Stores nicht lückenlos ist. Die Malware hat ihr Scanverhalten wahrscheinlich hinter legitimen Funktionen versteckt und den schädlichen Code erst nach der Installation aktiviert. Keines der Unternehmen hat offengelegt, wie viele Apps betroffen waren oder wie lange SparkKitty zum Download verfügbar war.
Was Benutzer tun sollten
Wenn Sie Seed-Phrasen als Screenshots oder Fotos speichern, hören Sie damit auf. Löschen Sie sie. Schreiben Sie sie auf Papier und bewahren Sie dieses Papier an einem sicheren Ort auf. Noch besser: Verwenden Sie eine Hardware-Wallet, die den Seed niemals einem internetverbundenen Gerät aussetzt. Die sicherste Seed-Phrase ist die, die keine App lesen kann.
Es wird erwartet, dass Apple und Google die betreffenden Apps entfernen, aber der Schaden könnte bereits angerichtet sein. Benutzer, die eine App mit SparkKitty heruntergeladen haben, sollten davon ausgehen, dass ihre Fotos – und alle darin enthaltenen Seed-Phrasen – kompromittiert sind. Die größere Frage: Wie viele Wallets wurden geleert, bevor es jemand bemerkte? Diese Zahl ist noch nicht öffentlich, und sie wird es vielleicht nie sein.
