Κρυπτονομίσματα: Νέο trojan πραγματοποιεί κλοπές στο App Store και το Google Play

Το εξειδικευμένο κέντρο Kaspersky Threat Research ανακάλυψε ένα νέο Trojan, το SparkCat, που χρησιμοποιείται για κλοπή δεδομένων στο AppStore και το Google Play τουλάχιστον από τον Μάρτιο του 2024. Πρόκειται για το πρώτο γνωστό περιστατικό κακόβουλου λογισμικού στο AppStore που βασίζεται στην οπτική αναγνώριση.

Το SparkCat χρησιμοποιεί μηχανική μάθηση για να σκανάρει τη συλλογή εικόνων και να κλέβει στιγμιότυπα οθόνης (screenshots) που περιέχουν φράσεις ανάκτησης πορτοφολιών κρυπτονομισμάτων. Μπορεί επίσης να εντοπίζει και να αντλεί άλλα ευαίσθητα δεδομένα σε μορφή εικόνων, όπως κωδικούς πρόσβασης.

Οι κίνδυνοι κυβερνοασφάλειας των AI βοηθών ανοιχτού κώδικα… όπως της DeepSeek

Η Kaspersky έχει αναφέρει τις γνωστές κακόβουλες εφαρμογές στην Google και την Apple.

Πώς εξαπλώνεται το νέο κακόβουλο λογισμικό

Το κακόβουλο λογισμικό εξαπλώνεται τόσο μέσω νόμιμων εφαρμογών που έχουν μολυνθεί, όσο και μέσω «δολωμάτων», όπως messengers, βοηθοί AI, εφαρμογές παράδοσης φαγητού, κρυπτονομίσματα και άλλα. Μερικές από τις εφαρμογές αυτές είναι διαθέσιμες στις επίσημες πλατφόρμες του Google Play και του AppStore. Τα δεδομένα τηλεμετρίας της Kaspersky δείχνουν επίσης ότι οι μολυσμένες εκδόσεις διανέμονται μέσω άλλων ανεπίσημων πηγών. Στο Google Play έχουν πραγματοποιηθεί πάνω από 242.000 λήψεις αυτών των εφαρμογών.

Ποιοι στοχοποιούνται

Το κακόβουλο λογισμικό στοχοποιεί κυρίως χρήστες στα ΗΑΕ και σε χώρες της Ευρώπης και της Ασίας. Οι ειδικοί έφτασαν σε αυτό το συμπέρασμα βάσει πληροφοριών για τις περιοχές λειτουργίας των μολυσμένων εφαρμογών όσο και της τεχνικής ανάλυσης του κακόβουλου λογισμικού. Το SparkCat σκανάρει τις συλλογές εικόνων αναζητώντας λέξεις-κλειδιά σε πολλές γλώσσες, συμπεριλαμβανομένων των Κινεζικών, Ιαπωνικών, Κορεατικών, Αγγλικών, Τσέχικων, Γαλλικών, Ιταλικών, Πολωνικών και Πορτογαλικών. Οι ειδικοί όμως πιστεύουν ότι τα θύματα μπορεί να προέρχονται και από άλλες χώρες.

Πώς λειτουργεί το SparkCat

Μόλις εγκατασταθεί, σε ορισμένες περιπτώσεις το νέο κακόβουλο λογισμικό ζητά πρόσβαση στη γκαλερί φωτογραφιών του smartphone. Στη συνέχεια, αναλύει το κείμενο στις αποθηκευμένες εικόνες χρησιμοποιώντας ένα μέσο οπτικής αναγνώρισης χαρακτήρων (OCR). Αν το κακόβουλο λογισμικό εντοπίσει σχετικά keywords, στέλνει την εικόνα στους επιτιθέμενους. Ο κύριος στόχος των χάκερς είναι να εντοπίσουν φράσεις ανάκτησης για πορτοφόλια κρυπτονομισμάτων. Με αυτήν την πληροφορία, μπορούν να αποκτήσουν πλήρη έλεγχο στο πορτοφόλι του θύματος και να κλέψουν χρήματα. Πέρα από την κλοπή φράσεων ανάκτησης, το κακόβουλο λογισμικό μπορεί να αντλήσει άλλες προσωπικές πληροφορίες από στιγμιότυπα οθόνης, όπως μηνύματα και κωδικούς πρόσβασης.

Αναλύοντας εκδόσεις του κακόβουλου λογισμικού για Android, οι ειδικοί της Kaspersky εντόπισαν σχόλια στον κώδικα γραμμένα στα Κινεζικά. Επιπλέον, η έκδοση για iOS περιείχε τα ονόματα καταλόγων «qiongwu» και «quiwengjing» του προγραμματιστή, κάτι που δείχνει την εξοικείωση των απειλητικών φορέων που κρύβονται πίσω από την εκστρατεία με τα Κινεζικά. Δεν υπάρχουν ωστόσο αρκετά στοιχεία για να αποδοθεί η καμπάνια σε κάποια γνωστή ομάδα κυβερνοεγκληματιών.

Επιθέσεις με τη χρήση ML

Οι κυβερνοεγκληματίες δίνουν όλο και περισσότερη προσοχή σε νευρωνικά δίκτυα στα κακόβουλα εργαλεία τους.

Στην περίπτωση του SparkCat, το Android module αποκρυπτογραφεί και εκτελεί ένα OCR-plugin χρησιμοποιώντας τη βιβλιοθήκη Google ML Kit για την αναγνώριση κειμένου σε αποθηκευμένες εικόνες. Παρόμοια μέθοδος χρησιμοποιήθηκε και στο κακόβουλο module για iOS.

Οι λύσεις της Kaspersky προστατεύουν τους χρήστες Android και iOS από το SparkCat. Ανιχνεύεται ως HEUR:Trojan.IphoneOS.SparkCat.* και HEUR:Trojan.AndroidOS.SparkCat.*. Η πλήρης έκθεση για την εκστρατεία αυτού του κακόβουλου λογισμικού είναι διαθέσιμη στο Securelist.

Για να μην πέσετε θύμα αυτού του κακόβουλου λογισμικού, η Kaspersky συνιστά τα εξής μέτρα ασφαλείας:

•  Αν έχετε εγκαταστήσει μία από τις μολυσμένες εφαρμογές, αφαιρέστε την από τη συσκευή σας και μην τη χρησιμοποιείτε μέχρι να κυκλοφορήσει μια ενημέρωση που θα αντιμετωπίσει το κακόβουλο λογισμικό.
•  Αποφύγετε την αποθήκευση στιγμιότυπων οθόνης που περιέχουν ευαίσθητες πληροφορίες στη συλλογή σας, συμπεριλαμβανομένων των φράσεων ανάκτησης πορτοφολιών κρυπτονομισμάτων. Οι κωδικοί πρόσβασης, για παράδειγμα, μπορούν να αποθηκευτούν σε εξειδικευμένες εφαρμογές.
•  Αξιόπιστο λογισμικό κυβερνοασφάλειας μπορεί να αποτρέψει μολύνσεις από κακόβουλα λογισμικά.