Trojanac SparkCat pronađen u aplikacijama na Google Play i u Apple App Store

Mobilni telefoni, 27.02.2025, 12:00 PM

Istraživači kompanije Kaspersky otkrili su na Google Play malver SparkCat za koji kažu da je trenutno konfigurisan za krađu podataka kripto novčanika, ali da se lako može prenameniti za krađu bilo kojih drugih vrednih podataka, kao što su fotografije i skrinšotovi, dokumenti, ugovori ili seed fraze za oporavak kripto novčanika.

Najgore je što se ovaj malver našao u zvaničnim prodavnicama aplikacija, a samo sa Google Play zaražene aplikacije su preuzete skoro 250.000 puta. Trojanac je otkriven i u Apple App Storeu.

Aplikacije koje sadrže SparkCat spadaju u dve kategorije. Za neke kao što su brojne slične aplikacije za slanje poruka sa AI funkcijom, sve od istog programera, jasno je da su mamac. Druge su legitimne aplikacije za usluge dostave hrane, čitanje vesti i uslužni programi za kripto novčanike.

„Još uvek ne znamo kako je trojanac dospeo u ove aplikacije. Možda je to bio rezultat napada na lanac snabdevanja, gde je zaražena komponenta treće strane koja se koristi u aplikaciji. Ili su programeri možda namerno ugradili trojanca u svoje aplikacije”, kažu istraživači kompanije Kaspersky.

SparkCat je zarazio aplikaciju ComeCome u Google Play i App Storeu. To je prva aplikcija u kojoj su istraživači pronašli SparkCat. Reč je o aplikaciji usluge dostave hrane koja je dostupna u UAE i Indoneziji.

Malver analizira fotografije u galeriji pametnog telefona zbog čega sve zaražene aplikacije traže dozvolu za pristup galeriji. U mnogim slučajevima, ovaj zahtev se čini potpuno legitimnim jer na kraju krajeva, očekivano je da delite fotografije u mesindžeru, zar ne? Međutim, čim korisnik odobri pristup određenim fotografijama ili celoj galeriji, malver počinje da češlja sve fotografije do kojih može da dođe, tražeći bilo šta vredno.

Da bi pronašao podatke kripto novčanika među fotografijama, trojanac ima ugrađeni modul za optičko prepoznavanje znakova (OCR) zasnovan na Google ML Kitu, univerzalnoj biblioteci za mašinsko učenje. SparkCat traži ključne reči. Istraživači kažu da su sajber kriminalci zainteresovani za fraze koje se koriste za vraćanje pristupa kripto novčanicima.
Do sada je pronađeno desetak zaraženih aplikacija na Google Play i 11 u App Storeu, koje su posle prijave uklonjene iz prodavnica. Telemetrijski podaci kompanije Kaspersky ukazuju da je isti malver bio dostupan i na drugim sajtovima i u nezvaničnim prodavnicama aplikacija.

SparkCat je „obučen“ da krade podatke od korisnika u evropskim i azijskim zemljama, a neki dokazi ukazuju da su napadi počeli najkasnije u martu 2024. Autori ovog malvera verovatno su iz Kine.

Kako se zaštititi od OCR trojanaca?

Nažalost, prastari savet - „preuzimajte samo visoko ocenjene aplikacije iz zvaničnih prodavnica aplikacija“ više nije dovoljan. Čak je i App Store sada infiltriran, a slični incidenti se ponavljaju na Google Play. Zato istraživači savetuju da se pooštre kriterijumi i preuzimaju samo aplikacije visokim ocenama i sa hiljadama, ili još bolje, milionima preuzimanja, objavljene pre najmanje nekoliko meseci. Proveravajte linkove do aplikacija sa zvaničnih izvora kao što je veb sajt programera. Čitajte recenzije, posebno negativne. Takođe bi trebalo da budete izuzetno oprezni prilikom davanja dozvola novim aplikacijama. Ranije se ovo prvenstveno odnosilo na podešavanja „Accessibility“, ali sada vidimo da čak i davanje pristupa galeriji može dovesti do krađe ličnih podataka. Ako niste potpuno sigurni u legitimnost aplikacije (na primer, to nije zvanični mesindžer, već modifikovana verzija), nemojte joj dozvoliti potpuni pristup svim svojim fotografijama i video snimcima. Omogućite pristup samo određenim fotografijama kada je to potrebno.

Ako ste već instalirali zaraženu aplikaciju, izbrišite je. Pažljivo pregledajte svoju galeriju fotografija da biste procenili koje podatke su sajber kriminalci možda dobili. Promenite sve lozinke i blokirajte sve kartice sačuvane u galeriji. Iako ova verzija SparkCata traži seed fraze, moguće je da bi trojanac mogao biti rekonfigurisan da ukrade druge informacije.

Spisak svih zaraženih aplikacija možete naći na kraju izveštaja objavljenog na blogu kompanije Kaspersky, Securelist.

Foto: Sven Mieke | Unsplash