卡巴斯基發現大量應用內含惡意SDK，竊取加密貨幣錢包信息
2025年2月5日 —— 卡巴斯基實驗室近日發佈安全報告，揭示 Google Play 和 Apple App Store 上多款應用內含惡意SDK “SparkCat”，該SDK可竊取 加密貨幣錢包助記詞和恢復密鑰，進而盜取用戶資產。這是首次在 iOS 平台 發現利用 OCR 光學識別 技術竊取加密錢包信息的惡意應用。
惡意應用影響範圍廣泛
• 受影響的 Android 應用下載量超過 24.2 萬次。
• iOS 應用下載量未知，但同樣面臨風險。
• 黑客主要針對 中文、日文、韓文、拉丁文 用戶，攻擊範圍可能覆蓋全球。
惡意SDK的攻擊方式
1. 用戶安裝受感染應用後，應用會掃描屏幕上的加密錢包助記詞或恢復密鑰。
2. 通過 OCR 技術識別並提取關鍵信息。
3. 通過黑客控制的服務器將數據發送出去（C2 服務器域名仿冒 阿里雲 aliyung[.]com / aliyung[.]org）。
4. 攻擊者利用竊取的數據恢復用戶錢包並 清空資產。
部分受感染應用名單
Android 應用
• com.crownplay.vanity.address
• com.atvnewsonline.app
• com.bintiger.mall.android
• com.websea.exchange
• org.safew.messenger
• org.safew.messenger.store
• com.tonghui.paybank
• com.bs.feifubao
• com.sapp.chatai
• com.sapp.starcoin
iOS 應用
• im.pop.app.iOS.Messenger
• com.hkatv.ios
• com.atvnewsonline.app
• io.zorixchange
• com.yykc.vpnjsq
• com.llyy.au
• com.star.har91vnlive
• com.jhgj.jinhulalaab
• com.qingwa.qingwa888lalaaa
• com.blockchain.uttool
• com.wukongwaimai.client
• com.unicornsoft.unicornhttpsforios
• staffs.mil.CoinPark
• com.lc.btdj
• com.baijia.waimai
• com.ctc.jirepaidui
• com.ai.gbet
• app.nicegram
• com.blockchain.ogiut
• com.blockchain.98ut
• com.dream.towncn
• com.mjb.Hardwood.Test
• njiujiu.vpntest
• com.qqt.jykj
• com.ai.sport
• com.feidu.pay
• app.ikun277.test
• com.usdtone.usdtoneApp2
• com.cgapp2.wallet0
• com.bbydqb
• com.yz.Byteswap.native
• jiujiu.vpntest
• com.wetink.chat
• com.websea.exchange
• com.customize.authenticator
• im.token.app
• com.mjb.WorldMiner.new
• com.kh-super.ios.superapp
• com.thedgptai.event
• com.yz.Eternal.new
• xyz.starohm.chat
• com.crownplay.luckyaddress1
應對措施
1. 檢查設備 是否安裝了受感染應用，若發現請 立即卸載。
2. 更換錢包 並將資產轉移到 全新錢包，避免被盜。
3. 啓用安全防護，使用 2FA（雙因素認證） 和 硬件錢包 保護資金。
4. 謹慎下載應用，盡量選擇官方渠道，並關注應用權限。
此次惡意SDK事件表明，即便是官方應用商店，也難以完全杜絕惡意軟件的潛伏。用戶應提高警惕，謹慎管理加密資產。
文章來源：隱私中國論壇 DarkWeb Inform.
2025年2月5日 —— 卡巴斯基實驗室近日發佈安全報告，揭示 Google Play 和 Apple App Store 上多款應用內含惡意SDK “SparkCat”，該SDK可竊取 加密貨幣錢包助記詞和恢復密鑰，進而盜取用戶資產。這是首次在 iOS 平台 發現利用 OCR 光學識別 技術竊取加密錢包信息的惡意應用。
惡意應用影響範圍廣泛
• 受影響的 Android 應用下載量超過 24.2 萬次。
• iOS 應用下載量未知，但同樣面臨風險。
• 黑客主要針對 中文、日文、韓文、拉丁文 用戶，攻擊範圍可能覆蓋全球。
惡意SDK的攻擊方式
1. 用戶安裝受感染應用後，應用會掃描屏幕上的加密錢包助記詞或恢復密鑰。
2. 通過 OCR 技術識別並提取關鍵信息。
3. 通過黑客控制的服務器將數據發送出去（C2 服務器域名仿冒 阿里雲 aliyung[.]com / aliyung[.]org）。
4. 攻擊者利用竊取的數據恢復用戶錢包並 清空資產。
部分受感染應用名單
Android 應用
• com.crownplay.vanity.address
• com.atvnewsonline.app
• com.bintiger.mall.android
• com.websea.exchange
• org.safew.messenger
• org.safew.messenger.store
• com.tonghui.paybank
• com.bs.feifubao
• com.sapp.chatai
• com.sapp.starcoin
iOS 應用
• im.pop.app.iOS.Messenger
• com.hkatv.ios
• com.atvnewsonline.app
• io.zorixchange
• com.yykc.vpnjsq
• com.llyy.au
• com.star.har91vnlive
• com.jhgj.jinhulalaab
• com.qingwa.qingwa888lalaaa
• com.blockchain.uttool
• com.wukongwaimai.client
• com.unicornsoft.unicornhttpsforios
• staffs.mil.CoinPark
• com.lc.btdj
• com.baijia.waimai
• com.ctc.jirepaidui
• com.ai.gbet
• app.nicegram
• com.blockchain.ogiut
• com.blockchain.98ut
• com.dream.towncn
• com.mjb.Hardwood.Test
• njiujiu.vpntest
• com.qqt.jykj
• com.ai.sport
• com.feidu.pay
• app.ikun277.test
• com.usdtone.usdtoneApp2
• com.cgapp2.wallet0
• com.bbydqb
• com.yz.Byteswap.native
• jiujiu.vpntest
• com.wetink.chat
• com.websea.exchange
• com.customize.authenticator
• im.token.app
• com.mjb.WorldMiner.new
• com.kh-super.ios.superapp
• com.thedgptai.event
• com.yz.Eternal.new
• xyz.starohm.chat
• com.crownplay.luckyaddress1
應對措施
1. 檢查設備 是否安裝了受感染應用，若發現請 立即卸載。
2. 更換錢包 並將資產轉移到 全新錢包，避免被盜。
3. 啓用安全防護，使用 2FA（雙因素認證） 和 硬件錢包 保護資金。
4. 謹慎下載應用，盡量選擇官方渠道，並關注應用權限。
此次惡意SDK事件表明，即便是官方應用商店，也難以完全杜絕惡意軟件的潛伏。用戶應提高警惕，謹慎管理加密資產。
文章來源：隱私中國論壇 DarkWeb Inform.