Die SparkKitty Malware zieht seit mindestens Februar 2024 Fotos aus den Galerien von iOS- und Android-Nutzern ab, um an abfotografierte Krypto-Seed-Phrasen zu gelangen. Im April 2026 meldete Kaspersky eine neue Variante des verwandten Schädlings SparkCat, die erstmals englische Wiederherstellungsphrasen erkennt.
SparkKitty und SparkCat sind Schadprogramme, die sich in scheinbar harmlosen Mobile-Apps verstecken. Nach der Installation greifen sie auf die Fotogalerie zu und laden gespeicherte Bilder auf fremde Server. Das Ziel sind Screenshots von Wallet-Wiederherstellungsphrasen. Viele Nutzer legen diese statt auf Papier im Telefon ab. Kaspersky beschrieb zunächst SparkCat und stufte die Kampagne Anfang 2025 als ersten bekannten OCR-Trojaner im Apple App Store ein. Den Report zu SparkKitty publizierte der Sicherheitsanbieter später im Juni 2025, obwohl diese Kampagne bereits seit mindestens Februar 2024 lief. Zu den infizierten Anwendungen zählten ursprünglich die App „币coin" im Apple App Store und der Messenger „SOEX" bei Google Play. Apple und Google entfernten beide Anwendungen inzwischen.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Neue SparkCat-Variante zielt erstmals auf englischsprachige Nutzer
Kaspersky meldete die neue Variante im April 2026, über ein Jahr nach der Erstentdeckung von SparkCat. Sie tauchte gleichzeitig im Apple App Store und bei Google Play auf. Auf Android betraf sie die App „SafeX" in Version 2.1.0, die unter dem Paketnamen com.ekhizc.carterocourrier lief. Im Apple App Store fanden die Analysten zwei weitere Anwendungen, „SafeW - 云办公助理" und „悟空外卖: 泰国华人生活管家". Die Android-Variante verbirgt ihren Code zudem hinter Code-Virtualisierung. Plattformübergreifende Programmiersprachen erschweren die Analyse zusätzlich.
Entscheidend ist jedoch die Sprachauswahl. Die Android-Variante sucht weiterhin nach japanischen, koreanischen und chinesischen Schlüsselwörtern. Auf iOS scannt der Schädling hingegen erstmals nach englischsprachigen Mnemonic-Phrasen. Eine solche Phrase genügt, um ein Wallet auf einem beliebigen Gerät wiederherzustellen. Darin liegt ein möglicher Hinweis auf eine Ausweitung des Zielpublikums über Asien hinaus.
Wie viele Nutzer die betroffenen Apps installiert haben, ist nicht bekannt. Belastbare Installationszahlen liegen bislang nur für die ältere Welle vor. Der Befund wiegt trotzdem schwer, weil die Kampagne damit erneut die Prüfprozesse beider Stores passierte.
Wie die SparkKitty Malware Fotos nach Seed-Phrasen durchsucht
Der Name legt eine gezielte Suche nahe. Die meisten SparkKitty-Varianten arbeiten dennoch grob und laden sämtliche Bilder der Galerie hoch, unabhängig vom Inhalt. Erst bei den Angreifern erfolgt die Auswertung. Ein verwandter Aktivitäts-Cluster geht hingegen selektiver vor und nutzt die Texterkennung von Google ML Kit. Dieser Cluster lädt folglich nur Bilder hoch, die mindestens drei Textzeilen mit je einem Wort ab drei Buchstaben enthalten.
SparkCat setzt dagegen durchgehend auf OCR und sucht direkt nach Mnemonic-Phrasen. Beide Kampagnen unterscheiden sich somit vor allem im Automatisierungsgrad. Die Tarnung folgt jeweils der Plattform. Auf iOS steckt der Schadcode in gefälschten Netzwerk-Frameworks wie AFNetworking und Alamofire. Hinzu kommt eine als Systembibliothek getarnte Datei namens libswiftDarwin.dylib. Unter Android läuft er über bösartige Module für Xposed beziehungsweise LSPosed.
Die Betreiber verschlüsseln allein die Konfiguration ihrer Steuerserver, und zwar mit AES-256-ECB. Abgelegt haben sie diese Konfiguration auf Aliyun OSS und auf Gitee, dem chinesischen Pendant zu GitHub. Kaspersky identifizierte ausserdem mehrere Command-and-Control-Server. Die betroffenen Apps erfüllten gleichzeitig ihre beworbene Funktion, weshalb der Foto-Abfluss im Alltag kaum auffiel.
Tarnung in App Stores und TikTok-Klonen
„币coin" trat im Apple App Store als Informationsdienst für Krypto-Kurse auf. „SOEX" wiederum ist ein Messenger mit Handelsfunktionen und kam bei Google Play auf über 10'000 Installationen. Apple und Google entfernten die Anwendungen schliesslich nach Kasperskys Meldung. Google bestätigte die Entfernung und sperrte den Entwickler.
Ausserhalb der offiziellen Stores lief die Verbreitung von SparkKitty zudem über modifizierte TikTok-Klone mit gefälschten Krypto-Shops, Glücksspiel-Apps, Casino-Angeboten und Erwachsenen-Games. Auf iOS nutzten die Angreifer ferner Enterprise-Provisioning-Profile. Diese sind für die interne App-Verteilung in Unternehmen gedacht und umgehen den Store vollständig. Anfang 2025 sah das Bild bei SparkCat ähnlich aus. Kaspersky fand damals ebenfalls zwei infizierte Apps im Apple App Store und eine bei Google Play. Die Schadfunktion versteckte sich dort in Firmen-Messengern und in Apps für Essenslieferdienste.
Beide Kampagnen zielten zunächst auf Asien, SparkKitty schwerpunktmässig auf China und Südostasien. Über gemeinsam infizierte Android-Apps und übereinstimmende Debug-Symbole in den iOS-Frameworks verknüpft Kaspersky die beiden Kampagnen. Hinter SparkCat vermutet das Unternehmen einen chinesischsprachigen Bedrohungsakteur. Dass beide Kampagnen die Store-Prüfung passierten, relativiert deren Schutzwirkung.
Schutz vor Seed-Phrase-Diebstahl aus der Galerie
Die wirksamste Massnahme ist zugleich die einfachste. Eine Seed Phrase gehört deswegen nicht als Foto oder Screenshot in die Galerie eines Telefons. Wer bereits solche Aufnahmen besitzt, löscht sie oder verschiebt sie auf einen verschlüsselten Offline-Speicher. Hardware-Wallets halten die Phrase dauerhaft ausserhalb des Smartphones.
Beim Umgang mit Apps hilft ferner ein Blick auf die Berechtigungen. Ein Kurs-Tracker oder ein Messenger braucht selten Vollzugriff auf die gesamte Fotomediathek. Offizielle Stores bleiben dennoch die bessere Wahl als Drittquellen. Einen Schutz garantieren sie allerdings nicht, wie die Fälle „币coin" und „SOEX" zeigen. Entwickler-Reputation und Berechtigungsanfragen sollten Nutzer deshalb vor der Installation prüfen.
