En ny malware-stamme kalt SparkKitty er blitt oppdaget i både Apple App Store og Google Play Store. Den stjeler kryptofrøfraser ved å skanne bilder lagret på brukernes enheter. Oppdagelsen avslører en vedvarende blindflekk i mobilapp-sikkerhet – selv offisielle butikker kan inneholde ondsinnet kode.
Slik fungerer SparkKitty
SparkKitty opererer stille. Etter installasjon gjennomsøker den enhetens bildebibliotek etter bilder som inneholder frøfraser – nøklene på 12 eller 24 ord som brukes til å gjenopprette kryptolommebøker. Hvis den finner en, eksfiltrerer den frasen til en ekstern server. Angriperen kan deretter tømme enhver lommebok knyttet til den frasen. Malwaren trenger ikke å lure brukere til å skrive inn noe; den leser bare det som allerede finnes på telefonen.
Problemet med app-butikker
Både Apple og Google gjennomfører automatiserte og manuelle vurderinger før de godkjenner apper. SparkKitty klarte å omgå dem. Dette er ikke første gang – ondsinnede apper slipper gjennom med noen måneders mellomrom – men det er en påminnelse om at butikkenes godkjenning ikke er vanntett. Malwaren skjulte trolig skanneatferden sin bak tilsynelatende legitime funksjoner, og aktiverte den ondsinnede koden først etter installasjon. Ingen av selskapene har oppgitt hvor mange apper som var berørt, eller hvor lenge SparkKitty var tilgjengelig for nedlasting.
Hva brukere bør gjøre
Hvis du lagrer frøfraser som skjermbilder eller bilder, slutt med det. Slett dem. Skriv dem ned på papir og oppbevar papiret på et trygt sted. Enda bedre: bruk en maskinvarelommebok som aldri eksponerer frøfrasen for en internett-tilkoblet enhet. Den sikreste frøfrasen er den ingen app kan lese.
Apple og Google forventes å fjerne de fornærmende appene, men skaden kan allerede være gjort. Brukere som lastet ned en app med SparkKitty bør anta at bildene deres – og eventuelle frøfraser i dem – er kompromittert. Det større spørsmålet: Hvor mange lommebøker ble tømt før noen oppdaget det? Det tallet er ikke offentlig ennå, og det kan hende det aldri blir det.
