Вредоносная программа для кражи криптовалют обнаружена в наборах для создания приложений для Android и iOS

Компания Kaspersky Labs, специализирующаяся на кибербезопасности, сообщила о выявлении зловредных программных комплектов, используемых для создания приложений в магазинах Google Play и Apple App Store. Эти комплекты способны сканировать изображения пользователей, анализируя их на предмет наличия данных для восстановления доступа к криптовалютным кошелькам, что может привести к хищению средств.

Эксперты "Лаборатории Касперского" Сергей Пузан и Дмитрий Калинин опубликовали отчет 4 февраля, где описывается вредоносная программа SparkCat, которая после заражения устройства осуществляет поиск изображений по определенным ключевым словам на различных языках с использованием технологии оптического распознавания символов (OCR).

В отчете отмечается, что злоумышленники используют украденные данные для восстановления доступа к криптокошелькам, что дает им полный контроль над счетами жертв и возможность похитить средства. Кроме того, специалисты подчеркивают, что функционал вредоносной программы позволяет ей похищать не только секретные фразы, но и другую личную информацию, такую как сообщения или пароли, сохраненные на скриншотах.

Специалисты "Лаборатории Касперского" рекомендуют пользователям избегать хранения конфиденциальной информации на изображениях или в галереях мобильных устройств, предлагая использовать менеджеры паролей. Также они советуют удалять подозрительные или зараженные приложения.

Согласно исследованию, в приложениях для операционной системы Android вредоносная программа использует компонент Java под названием Spark, маскирующийся под аналитический модуль, и зашифрованный конфигурационный файл, размещенный на платформе GitLab, откуда поступают команды и обновления. Для извлечения текста из изображений на инфицированных устройствах используется сетевой модуль на базе Google ML Kit OCR, позволяющий находить фразы для восстановления доступа к криптокошелькам и загружать их на устройства злоумышленников без необходимости ввода пароля.

По оценкам «Лаборатории Касперского», вредоносное ПО было загружено примерно 242 000 раз с момента его активации в марте, в основном пользователями Android и iOS в Европе и Азии.

«Лаборатория Касперского» утверждает, что вредоносное ПО содержится в десятках приложений, как настоящих, так и поддельных, в магазинах приложений Google и Apple, но имеет одни и те же функции во всех из них, такие как использование языка Rust, который «редко встречается в мобильных приложениях», кроссплатформенность и обфускация, затрудняющая анализ и обнаружение.

Лаборатория Касперского обнаружила поддельные приложения, содержащие SparkCat, как в Google Play Store, так и в Apple App Store. Источник: Лаборатория Касперского

Пузан и Калинин заявили, что неясно, были ли заражённые приложения «заражены в результате атаки на цепочку поставок или разработчики намеренно внедрили в них троян».

«Некоторые приложения, например, службы доставки еды, выглядят легитимными, в то время как другие явно созданы для того, чтобы заманивать жертв. Например, мы видели несколько похожих «приложений для обмена сообщениями» с функциями искусственного интеллекта от одного и того же разработчика», — добавили они.