infosecurity
@tg_infosec
SparkCat: OCR-воры криптокошельков в Google Play и App Store.
• В конце 2024 года исследователи "Лаборатория Касперского" обнаружили вредоносную кампанию, которую назвали SparkCat - это первый известный случай попадания стилера в App Store. Что примечательно, так это то, что SparkCat позволяет красть данные с фотографий, хранящихся на устройстве.
• Если совсем коротко, то логика работы вредоноса следующая:
В App Store и Google Play загружаются приложения, в которые встроен вредоносный SDK/фреймворк для кражи фраз для восстановления доступа к криптокошелькам. Вредоносный модуль для Android расшифровывал и запускал OCR-плагин на основе библиотеки Google ML Kit, с помощью которого распознавал текст на картинках в галерее устройства. По ключевым словам, получаемым с С2, троянец отправлял картинки на командный сервер. Вредоносный модуль для iOS был устроен схожим образом и также использовал библиотеку Google ML Kit для OCR.
• Кстати, из Google Play зараженные приложения скачали более 242 000 раз. Еще было обнаружено, что SparkCat использовал для взаимодействия с С2 неопознанный протокол, реализованный на редком для мобильных приложений языке Rust. Согласно временным меткам в файлах зловреда и датам создания файлов конфигураций в репозиториях на GitLab, SparkCat был активен с марта 2024 года.
• Во время анализа Android-приложений было обнаружено, что С2-сервер в ответ на некорректные запросы возвращает описание ошибок на китайском языке. Это, а также имя домашней папки разработчика фреймворка, полученное в ходе анализа iOS-версии, дает основания полагать, что разработчик вредоносного модуля свободно владеет китайским языком.
• По итогу мы имеем следующую картину — злоумышленники крадут фразы для восстановления доступа к криптокошелькам, которых достаточно, чтобы получить полный контроль над кошельком жертвы для дальнейшей кражи средств. Гибкость зловреда позволяет ему воровать не только секретные фразы, но и другие личные данные из галереи, например содержание сообщений или пароли, которые могли остаться на скриншотах.
#SparkCat #Malware
• В конце 2024 года исследователи "Лаборатория Касперского" обнаружили вредоносную кампанию, которую назвали SparkCat - это первый известный случай попадания стилера в App Store. Что примечательно, так это то, что SparkCat позволяет красть данные с фотографий, хранящихся на устройстве.
• Если совсем коротко, то логика работы вредоноса следующая:
В App Store и Google Play загружаются приложения, в которые встроен вредоносный SDK/фреймворк для кражи фраз для восстановления доступа к криптокошелькам. Вредоносный модуль для Android расшифровывал и запускал OCR-плагин на основе библиотеки Google ML Kit, с помощью которого распознавал текст на картинках в галерее устройства. По ключевым словам, получаемым с С2, троянец отправлял картинки на командный сервер. Вредоносный модуль для iOS был устроен схожим образом и также использовал библиотеку Google ML Kit для OCR.
• Кстати, из Google Play зараженные приложения скачали более 242 000 раз. Еще было обнаружено, что SparkCat использовал для взаимодействия с С2 неопознанный протокол, реализованный на редком для мобильных приложений языке Rust. Согласно временным меткам в файлах зловреда и датам создания файлов конфигураций в репозиториях на GitLab, SparkCat был активен с марта 2024 года.
• Во время анализа Android-приложений было обнаружено, что С2-сервер в ответ на некорректные запросы возвращает описание ошибок на китайском языке. Это, а также имя домашней папки разработчика фреймворка, полученное в ходе анализа iOS-версии, дает основания полагать, что разработчик вредоносного модуля свободно владеет китайским языком.
• По итогу мы имеем следующую картину — злоумышленники крадут фразы для восстановления доступа к криптокошелькам, которых достаточно, чтобы получить полный контроль над кошельком жертвы для дальнейшей кражи средств. Гибкость зловреда позволяет ему воровать не только секретные фразы, но и другие личные данные из галереи, например содержание сообщений или пароли, которые могли остаться на скриншотах.
#SparkCat #Malware
? 13
? 6
28 4.4K
Обсуждение 0
Обсуждение не доступно в веб-версии. Чтобы написать комментарий, перейдите в приложение Telegram.
Обсудить в Telegram