{"id":5101,"date":"2026-06-01T16:39:49","date_gmt":"2026-06-01T14:39:49","guid":{"rendered":"https:\/\/g7itchme.wordpress.com\/?p=5101"},"modified":"2026-06-01T16:39:49","modified_gmt":"2026-06-01T14:39:49","slug":"sparkcat-wenn-die-eigene-fotogalerie-zum-einfallstor-wird","status":"publish","type":"post","link":"https:\/\/technodidact.de\/en\/sparkcat-wenn-die-eigene-fotogalerie-zum-einfallstor-wird\/","title":{"rendered":"SparkCat \u2013 Wenn die eigene Fotogalerie zum Einfallstor wird"},"content":{"rendered":"

Autor: DerSchneider<\/strong><\/p>\n\n\n\n

Einleitung<\/h2>\n\n\n\n

Es ist ein Szenario, das die vermeintliche Sicherheit offizieller App-Stores infrage stellt: Eine Malware, die sich \u00fcber Google Play und den Apple App Store verbreitet, ohne dass die etablierten Sicherheitsmechanismen der Plattformen dies verhindern k\u00f6nnen. SparkCat ist kein gew\u00f6hnlicher Trojaner. Diese Schadsoftware nutzt ein ungew\u00f6hnliches Verfahren: Sie durchsucht mit Hilfe von optischer Zeichenerkennung (OCR) die Fotogalerie infizierter Ger\u00e4te gezielt nach Wiederherstellungsphrasen von Kryptow\u00e4hrungs-Wallets \u2013 den sogenannten Seed Phrases.<\/p>\n\n\n\n

Die Bedrohung ist real, sie ist komplex und sie ist erst der Anfang. Was als erste bekannte OCR-Malware im Apple App Store im Februar 2025 dokumentiert wurde, hat sich binnen eines Jahres zu einer sich rasant weiterentwickelnden Bedrohungskategorie entwickelt. Dieser Artikel beleuchtet die technischen Hintergr\u00fcnde von SparkCat, ordnet die Malware in die historische Entwicklung mobiler Bedrohungen ein, analysiert die Kontroversen um die Sicherheit offizieller App-Stores und zeigt auf, welche Gefahren und Implikationen sich daraus f\u00fcr Nutzer und die Branche ergeben.<\/p>\n\n\n\n

Hauptteil<\/h2>\n\n\n\n

Die technische Funktionsweise \u2013 Wie SparkCat tickt<\/h3>\n\n\n\n

SparkCat agiert nach einem ebenso simplen wie raffinierten Prinzip. Die Malware wird \u00fcber infizierte Apps verbreitet, die auf den ersten Blick vollkommen harmlos erscheinen. Dazu z\u00e4hlen etwa Enterprise-Messenger, Essenslieferdienste oder Kryptow\u00e4hrungsb\u00f6rsen. Kaspersky identifizierte etwa die App \u5e63coin<\/em> im Apple App Store sowie SOEX<\/em> auf Google Play, die sp\u00e4ter wieder entfernt wurden<\/a>. Insgesamt verzeichneten allein die infizierten Android-Apps auf Google Play mehr als 242.000 Downloads, bevor sie von den Plattformen genommen wurden<\/a>.<\/p>\n\n\n\n

Nach der Installation verh\u00e4lt sich die Malware zun\u00e4chst unscheinbar. Erst beim \u00d6ffnen bestimmter Bildschirme \u2013 etwa eines Kundensupport-Chats \u2013 fordert sie die f\u00fcr den Betrieb eigentlich unverd\u00e4chtige Berechtigung zum Zugriff auf die Fotogalerie an. Auf Android wird der Speicherzugriff erbeten, auf iOS der Zugriff auf die Foto-Bibliothek<\/a>. Hat der Nutzer diese Berechtigung erteilt, beginnt der eigentliche Prozess: Ein OCR-Modul durchsucht alle gespeicherten Bilder nach bestimmten Schl\u00fcsselw\u00f6rtern oder \u2013 im Fall von iOS \u2013 direkt nach englischsprachigen mnemonischen Phrasen, die f\u00fcr die Wiederherstellung eines Krypto-Wallets ben\u00f6tigt werden<\/a><\/a>.<\/p>\n\n\n\n

Plattformspezifische Umsetzung<\/h4>\n\n\n\n

Die Implementierung von SparkCat unterscheidet sich signifikant zwischen Android und iOS, was die Anpassungsf\u00e4higkeit der Entwickler unterstreicht:<\/p>\n\n\n\n

Aspekt<\/th>Android-Variante<\/th>iOS-Variante<\/th><\/tr><\/thead>
Verbreitung<\/strong><\/td>\u00dcber Google Play und Drittanbieter-APKs<\/td>\u00dcber App Store, Phishing-Seiten mit Bereitstellungsprofilen<\/td><\/tr>
Einbettung<\/strong><\/td>Java-\/Kotlin-Apps, teils als b\u00f6sartiges Xposed-Modul<\/td>Als Frameworks (z.\u202fB. AFNetworking, Alamofire) oder obfuskierte Bibliotheken (libswiftDarwin.dylib)<\/td><\/tr>
Ausl\u00f6sung<\/strong><\/td>Beim App-Start oder bei nutzerdefinierten Aktionen<\/td>\u00dcber Objective-C +load<\/code>-Methode beim App-Start<\/td><\/tr>
OCR-Methode<\/strong><\/td>Google ML Kit<\/td>Google ML Kit<\/td><\/tr>
Zielsprachen<\/strong><\/td>Japanisch, Koreanisch, Chinesisch<\/td>Englisch (mnemonische Phrasen)<\/td><\/tr>
Zielgruppe<\/strong><\/td>Nutzer in Asien<\/td>Weltweit<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Auf iOS wird der Trojaner in Form von Frameworks eingeschleust und verwendet die +load<\/code>-Methode von Objective-C, die automatisch ausgef\u00fchrt wird, sobald die App startet. Eine Konfigurationspr\u00fcfung stellt sicher, dass der Schadcode nur unter bestimmten Bedingungen aktiv wird<\/a>. Auf Android wird die Malware entweder beim App-Start oder bei nutzerspezifischen Interaktionen getriggert. In beiden F\u00e4llen ruft sie eine Remote-Konfiguration ab, die mit AES-256 verschl\u00fcsselt ist und die Adressen der Command-&-Control-Server (C2) enth\u00e4lt<\/a>.<\/p>\n\n\n\n

Einsatz von Machine Learning<\/h4>\n\n\n\n

Ein besonderes Merkmal ist der Einsatz von Googles ML Kit f\u00fcr die Texterkennung. SparkCat ist die erste bekannte Malware im iOS-\u00d6kosystem, die optische Zeichenerkennung in dieser Form nutzt<\/a>. Der Einsatz von Machine Learning erlaubt es der Malware, nicht nur nach festen Schl\u00fcsselworten zu suchen, sondern auch kontextuell relevante Textfragmente in Bildern zu identifizieren<\/a>. Das ist ein entscheidender Schritt hin zu einer intelligenteren, zielgerichteteren Malware, die nicht mehr pauschal alle Bilder exfiltriert, sondern selektiv vorgeht.<\/p>\n\n\n\n

Historische Entwicklung \u2013 Vom Proof of Concept zur globalen Bedrohung<\/h3>\n\n\n\n

Um die Dimension von SparkCat zu verstehen, lohnt ein kurzer Blick zur\u00fcck. Mobile Malware ist keine neue Erfindung. 2004 wurde mit Cabir<\/em> der erste mobile Wurm dokumentiert, der seinerzeit Nokia-Symbian-Ger\u00e4te infizierte. Was damals eine Kuriosit\u00e4t war, entwickelte sich innerhalb eines Jahrzehnts zu einer allgegenw\u00e4rtigen Bedrohung. 2013 wurden bereits t\u00e4glich \u00fcber 1.300 neue b\u00f6sartige Apps entdeckt. Die Methoden wurden raffinierter: von einfachen SMS-Trojanern \u00fcber Banking-Malware bis hin zu Ransomware.<\/p>\n\n\n\n

SparkCat markiert jedoch einen neuen Meilenstein. Zum ersten Mal gelang es einer Malware, OCR-Technologie mit ausgekl\u00fcgelten Tarnmechanismen zu kombinieren, um offizielle App-Stores zu infiltrieren. Die Kampagne ist seit mindestens M\u00e4rz 2024 aktiv<\/a>. Und sie w\u00e4chst. Innerhalb eines Jahres nach der ersten Entdeckung im Februar 2025 tauchte bereits eine neue Variante auf, die sich durch zus\u00e4tzliche Verschleierungstechniken auszeichnet<\/a>.<\/p>\n\n\n\n

Kontroversen \u2013 Wenn offizielle Stores zur Fassade werden<\/h3>\n\n\n\n

Die schiere Existenz von SparkCat wirft grundlegende Fragen auf: Wie sicher sind Google Play und der Apple App Store wirklich? Apples App Store galt lange als Festung. Die Zahl der Malware-Infektionen auf iOS liegt bei etwa einem Prozent im Vergleich zu Android. Diese relative Sicherheit ist vor allem das Verdienst der restriktiven Kontrollmechanismen und des Verbots von Sideloading.<\/p>\n\n\n\n

Dennoch zeigt der Fall SparkCat eindrucksvoll, dass selbst diese Festung nicht undurchdringlich ist. Kaspersky-Experte Dmitry Kalinin betont: \u201eThe SparkCat malware is an evolving mobile threat. Threat actors behind it constantly raise the complexity of the anti-analysis techniques, allowing it to bypass the review process of the official app stores.\u201c<\/em><\/a>. Die Angreifer setzen auf Code-Virtualisierung und plattform\u00fcbergreifende Programmiersprachen \u2013 Techniken, die in der mobilen Malware-Landschaft nach wie vor selten sind<\/a>.<\/p>\n\n\n\n

Ein besonders brisanter Aspekt ist die Frage der Herkunft. Kaspersky-Forscher fanden in der Android-Version chinesischsprachige Kommentare im Code. Zudem enthielt die iOS-Version Entwickler-Pfadnamen wie qiongwu<\/em> und quiwengjing<\/em><\/a>. Die genaue Zuordnung zu einer bekannten Cyberkriminellen-Gruppe steht jedoch noch aus. Diese Unsicherheit zeigt ein weiteres Problem: Oft wissen wir nicht genau, wer hinter einer solchen Kampagne steckt \u2013 was die Entwicklung wirksamer Gegenma\u00dfnahmen erschwert.<\/p>\n\n\n\n

Zuk\u00fcnftige Implikationen \u2013 Was SparkCat f\u00fcr die Zukunft bedeutet<\/h3>\n\n\n\n

SparkCat ist kein Einzelfall. Das eigentliche Problem liegt in der grunds\u00e4tzlichen Verwundbarkeit von App-\u00d6kosystemen. Die Entwickler von SparkCat haben bewiesen, dass es m\u00f6glich ist, sichere Stores zu unterwandern. Die neue Variante f\u00fcr Android nutzt gleich mehrere Verschleierungsebenen, darunter Code-Virtualisierung und Cross-Platform-Sprachen, um der Analyse zu entgehen<\/a>. Diese technischen Raffinessen sind f\u00fcr mobile Malware nach wie vor ungew\u00f6hnlich und signalisieren eine neue Qualit\u00e4t der Bedrohung<\/a>.<\/p>\n\n\n\n

Die Angreifer k\u00f6nnten ihre Taktik weiter ausbauen. Denkbare Szenarien sind die Integration ausgefeilterer KI-Methoden, um gezielter nach relevanten Daten zu suchen, oder die Nutzung von Zero-Day-Exploits, um Berechtigungsschranken zu umgehen. Ein weiterer Trend ist die verst\u00e4rkte Nutzung von Supply-Chain-Angriffen: Anstatt eigene Apps zu entwickeln, kompromittieren Angreifer legitime Software-Bibliotheken, die dann in viele Apps eingebunden werden. Kaspersky h\u00e4lt es derzeit f\u00fcr unklar, ob die infizierten Apps in den Stores durch solche Supply-Chain-Angriffe kompromittiert wurden oder durch andere Methoden<\/a>.<\/p>\n\n\n\n

F\u00fcr die Plattformbetreiber bedeutet das: Sie m\u00fcssen ihre Pr\u00fcfverfahren grundlegend \u00fcberdenken. Statische Code-Analysen reichen offenbar nicht mehr aus. Es braucht dynamische Testumgebungen, Verhaltensanalyse und m\u00f6glicherweise sogar den Einsatz von KI zur Erkennung von Anomalien im App-Verhalten nach der Installation. Gleichzeitig ist zu bedenken: Jede Versch\u00e4rfung der Kontrollen bedeutet auch mehr Aufwand f\u00fcr legitime Entwickler und k\u00f6nnte Innovationen behindern.<\/p>\n\n\n\n

Schutzma\u00dfnahmen \u2013 Was Nutzer konkret tun k\u00f6nnen<\/h3>\n\n\n\n

Angesichts der Bedrohung sind auch die Nutzer gefragt. Kaspersky empfiehlt eine Reihe von Schutzma\u00dfnahmen<\/a>:<\/p>\n\n\n\n

    \n
  1. Nutzung mobiler Sicherheitssoftware<\/strong>: Kaspersky for Android kann die Installation der Malware verhindern. Auf iOS verhindert die Software aufgrund der Architektur des Betriebssystems zumindest die Verbindung zu den Command-&-Control-Servern und warnt den Nutzer.<\/li>\n\n\n\n
  2. Keine sensiblen Screenshots in der Galerie speichern<\/strong>: Das ist der wichtigste und einfachste Schutz. Seed-Phrases, Passw\u00f6rter oder andere vertrauliche Informationen geh\u00f6ren nicht in die Fotogalerie \u2013 auch nicht als Screenshot. Besser geeignet sind spezialisierte Passwort-Manager oder verschl\u00fcsselte Notizen-Apps.<\/li>\n\n\n\n
  3. Apps kritisch hinterfragen<\/strong>: Auch Apps aus offiziellen Stores sind nicht automatisch vertrauensw\u00fcrdig. Achten Sie auf Faktoren wie minderwertige Bewertungen, ungew\u00f6hnlich hohe Anzahl positiver Bewertungen bei geringer Download-Zahl oder unplausible Berechtigungsanfragen.<\/li>\n\n\n\n
  4. Berechtigungen regelm\u00e4\u00dfig pr\u00fcfen<\/strong>: Eine App, die eigentlich nur f\u00fcr Nachrichten zust\u00e4ndig ist, ben\u00f6tigt keinen Zugriff auf die Fotogalerie. Pr\u00fcfen Sie in den Einstellungen Ihres Ger\u00e4ts, welche Apps welche Berechtigungen haben, und entziehen Sie nicht ben\u00f6tigte Rechte.<\/li>\n\n\n\n
  5. Betriebssystem und Apps aktuell halten<\/strong>: Sicherheitsupdates schlie\u00dfen bekannte Schwachstellen, die von Malware ausgenutzt werden k\u00f6nnten.<\/li>\n<\/ol>\n\n\n\n

    Die nachfolgende Tabelle fasst die Empfehlungen zusammen:<\/p>\n\n\n\n

    Ma\u00dfnahme<\/th>Beschreibung<\/th>Wirksamkeit gegen SparkCat<\/th><\/tr><\/thead>
    Mobile Sicherheitssoftware<\/td>Verhindert Installation bzw. blockiert C2-Kommunikation<\/td>Hoch (bei Android), Mittel (bei iOS)<\/td><\/tr>
    Keine Seed-Phrases als Screenshot<\/td>Vermeidet das Vorhandensein sensibler Daten in der Galerie<\/td>Sehr hoch<\/td><\/tr>
    Kritische App-Pr\u00fcfung<\/td>Hinterfragen von Bewertungen, Berechtigungen, Entwickler-Historie<\/td>Mittel<\/td><\/tr>
    Regelm\u00e4\u00dfige Berechtigungspr\u00fcfung<\/td>Entziehen nicht ben\u00f6tigter Zugriffsrechte<\/td>Hoch<\/td><\/tr>
    Updates<\/td>Schlie\u00dfen von Sicherheitsl\u00fccken<\/td>Mittel<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    Fazit und Ausblick<\/h2>\n\n\n\n

    SparkCat ist mehr als nur eine weitere Malware. Sie ist ein Weckruf. Die Kombination aus optischer Zeichenerkennung, gezieltem Datendiebstahl und der F\u00e4higkeit, selbst streng gepr\u00fcfte App-Stores zu unterwandern, stellt alle bisherigen Annahmen \u00fcber mobile Sicherheit infrage. Die App-Stores von Apple und Google sind sicher \u2013 aber nicht absolut sicher. Das mag nach einer trivialen Erkenntnis klingen, doch die praktischen Konsequenzen sind weitreichend.<\/p>\n\n\n\n

    Die Reaktion der Plattformbetreiber auf SparkCat wird entscheidend sein. Werden sie ihre Pr\u00fcfverfahren weiter versch\u00e4rfen? Werden sie in Echtzeit-Verhaltensanalyse investieren? Oder setzen sie weiterhin auf statische Pr\u00fcfungen, die von versierten Angreifern umgangen werden k\u00f6nnen? Fest steht: Der Wettlauf zwischen Angreifern und Verteidigern wird sich weiter beschleunigen. K\u00fcnstliche Intelligenz, die auf der einen Seite zur Erkennung von Malware eingesetzt wird, kann auf der anderen Seite auch zur Erstellung intelligenterer Schadsoftware genutzt werden.<\/p>\n\n\n\n

    F\u00fcr die Nutzer bleibt letztlich nur eines: ein wachsames Auge. Die Zeiten, in denen man sich blind auf die Sicherheit offizieller App-Stores verlassen konnte, sind vorbei. Das bedeutet nicht, dass man in Angst leben muss. Aber es bedeutet, dass man die Risiken kennt, versteht und entsprechend handelt. Die eigene Fotogalerie ist kein Safe. Und ein Screenshot des eigenen Wallet-Seeds ist das digitale \u00c4quivalent eines Haust\u00fcrschl\u00fcssels unter der Fu\u00dfmatte \u2013 nur dass die Diebe in diesem Fall nicht an Ihrer Haust\u00fcr stehen, sondern l\u00e4ngst in Ihrem digitalen Wohnzimmer sitzen.<\/p>\n\n\n\n

    Quellen<\/h2>\n\n\n\n
      \n
    1. Kaspersky:\u00a0Kaspersky discovers new crypto-stealing Trojan in AppStore and Google Play<\/em>. Februar 2025.\u00a0https:\/\/multisite2.geo.kaspersky.com\/about\/press-releases\/kaspersky-discovers-new-crypto-stealing-trojan-in-appstore-and-google-play<\/a>\u00a0<\/a><\/li>\n\n\n\n
    2. Kaspersky:\u00a0Kaspersky discovers new SparkCat variant bypassing App Store and Google Play security<\/em>. April 2026.\u00a0https:\/\/www.kaspersky.com\/about\/press-releases\/kaspersky-discovers-new-sparkcat-variant-bypassing-app-store-and-google-play-security<\/a>\u00a0<\/a><\/li>\n\n\n\n
    3. The Hacker News:\u00a0New SparkCat Variant in iOS, Android Apps Steals Crypto Wallet Recovery Phrase Images<\/em>. April 2026.\u00a0https:\/\/thehackernews.com\/2026\/04\/new-sparkcat-variant-in-ios-android.html<\/a>\u00a0<\/a><\/li>\n\n\n\n
    4. Kaspersky Securelist:\u00a0SparkKitty, SparkCat\u2018s little brother: A new Trojan spy found in the App Store and Google Play<\/em>. Juni 2025.\u00a0https:\/\/securelist.com\/sparkkitty-ios-android-malware\/116793\/<\/a>\u00a0<\/a><\/li>\n\n\n\n
    5. BleepingComputer:\u00a0Malware on Google Play, Apple App Store stole your photos\u2014and crypto<\/em>. Juni 2025.\u00a0https:\/\/www.bleepingcomputer.com\/news\/security\/malware-on-google-play-app-store-stole-your-photos-and-crypto\/<\/a>\u00a0<\/a><\/li>\n\n\n\n
    6. Securitricks:\u00a0SparkCat crypto stealer in Google Play and App Store<\/em>. Februar 2025.\u00a0https:\/\/securitricks.com\/attackreports\/sparkcat-crypto-stealer-in-google-play-and-app-store<\/a>\u00a0<\/a><\/li>\n\n\n\n
    7. Yahoo Tech:\u00a0SparkCat malware returns to target Android and iOS users<\/em>. April 2026.\u00a0https:\/\/tech.yahoo.com\/cybersecurity\/articles\/sparkcat-malware-returns-target-android-161000541.html<\/a>\u00a0<\/a><\/li>\n\n\n\n
    8. Kaspersky Deutschland:\u00a0Im App Store und in Google Play: Kaspersky entdeckt Spionage-Trojaner SparkKitty<\/em>. Juni 2025.\u00a0https:\/\/www.kaspersky.de\/about\/press-releases\/im-app-store-und-in-google-play-kaspersky-entdeckt-spionage-trojaner-sparkkitty<\/a>\u00a0<\/a><\/li>\n\n\n\n
    9. Kaspersky:\u00a0SparkCat: Proof That iOS Is Not Immune to Malware<\/em>. M\u00e4rz 2025.\u00a0https:\/\/blog.pradeo.com\/sparkcat-ios-malware<\/a>\u00a0<\/li>\n\n\n\n
    10. BSI:\u00a0Smartphone, Tablet \u2013 Schutz f\u00fcr Mobilger\u00e4te<\/em>.\u00a0https:\/\/www.bsi.bund.de<\/a>\u00a0<\/li>\n<\/ol>","protected":false},"excerpt":{"rendered":"

      Autor: DerSchneider Einleitung Es ist ein Szenario, das die vermeintliche Sicherheit offizieller App-Stores infrage stellt: Eine Malware, die sich \u00fcber Google Play und den Apple App Store verbreitet, ohne dass die etablierten Sicherheitsmechanismen der Plattformen dies verhindern k\u00f6nnen. SparkCat ist kein gew\u00f6hnlicher Trojaner. Diese Schadsoftware nutzt ein ungew\u00f6hnliches Verfahren: Sie durchsucht mit Hilfe von optischer […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[41,44,17],"tags":[486,3405,3636,3943,4655,5051,6516],"class_list":["post-5101","post","type-post","status-publish","format-standard","hentry","category-digitalkultur","category-ethik-gewissen","category-im-herz","tag-app-store-sicherheit","tag-ios-android-malware","tag-kaspersky-threat-research","tag-kryptowallet-seed-phrase","tag-mobile-threat-intelligence","tag-ocr-malware","tag-sparkcat"],"_links":{"self":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/5101","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/comments?post=5101"}],"version-history":[{"count":0,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/5101\/revisions"}],"wp:attachment":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/media?parent=5101"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/categories?post=5101"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/tags?post=5101"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}