全球大事件深挖报道专题 - 拜托拜托 （COMECOME）

以下内容来自卡巴斯基官网 标题：拿走我的钱：Google Play 和 App Store 中的 OCR 加密货币窃取者 链接：https://securelist.com/sparkcat-stealer-in-app-store-and-google-play/115385/

2023年3月，ESET 的研究人员发现多种消息应用的修改版中嵌入了恶意软件。这些恶意程序会扫描用户的图片库，寻找加密钱包的助记词恢复短语。该扫描过程利用了一个 OCR（光学字符识别）模型，识别受害者设备中的图像，并将筛选出的图像发送到控制服务器（C2）。该攻击活动针对 Android 和 Windows 用户，恶意软件通过非官方渠道传播。

到了2024年末，我们发现了一个新的恶意软件活动，并将其命名为“SparkCat”。攻击者使用了类似的手法，攻击对象扩展到了 Android 和 iOS 用户，且通过官方应用商店和非官方渠道同时传播。

我们得出的结论简述如下：

• 我们发现了多个 Android 和 iOS 应用，其中一些在 Google Play 和 Apple App Store 上架，这些应用内嵌有恶意的 SDK 或框架，用于窃取加密钱包的恢复短语。

• 被感染的 Google Play 应用下载量超过 24.2 万次。这也是首次在 Apple App Store 中发现此类窃取助记词的恶意软件。

• Android 恶意模块会解密并启动一个使用 Google 的 ML Kit 构建的 OCR 插件，识别图库中的图像内容。匹配到从 C2 接收到的关键字后，会将图像发送到服务器。

• 针对 iOS 的恶意模块也采用了类似的设计，同样依赖于 Google 的 ML Kit 进行 OCR 识别。

• 我们将这种恶意软件命名为“SparkCat”。它使用一种未公开的协议与 C2 通信，该协议使用 Rust 编程语言编写，而 Rust 在移动应用中极为少见。

• 根据恶意软件文件的时间戳及 GitLab 仓库中配置文件的创建时间判断，SparkCat 至少从 2024年3月起就已开始活动。

Google Play 应用中的恶意 SDK

我们首先注意到的是一款在阿联酋和印尼流行的外卖应用，名为 “ComeCome”（APK 包名：com.bintiger.mall.android）。研究时该应用仍可在 Google Play 上下载，下载次数超过 10,000 次。

除了 KeywordsProcessor，该恶意软件还包含另外两个处理器：DictProcessor 和 WordNumProcessor。前者使用资产中 rapp.binary 内解密存储的本地化词典过滤图像，后者按长度过滤单词。每个进程的 letterMin 和 letterMax 参数定义允许的单词长度范围。对于 DictProcessor，wordlistMatchMin 设置图像中字典单词匹配的最小阈值。对于 WordNumProcessor，wordMin 和 wordMax 定义识别单词总数的可接受范围。注册受感染设备的请求响应中的 rs 字段控制将使用哪个处理器。

符合搜索条件的图像分三步从设备下载。首先，将包含图像 MD5 哈希的请求发送到 C2 上的 /api/e/img/uploadedCheck。接下来，将图像上传到亚马逊的云存储或“rust”服务器上的 file@/api/res/send。之后，将图像链接上传到 C2 上的 /api/e/img/rekognition。因此，从软件包名称 com.spark.stat 可以看出，专为分析而设计的 SDK 实际上是选择性窃取图库内容的恶意软件。 我们问自己，攻击者在寻找什么样的图像。为了找到答案，我们从 C2 服务器请求了一系列关键字，以便进行基于 OCR 的搜索。在每种情况下，我们都会收到中文、日语、韩语、英语、捷克语、法语、意大利语、波兰语和葡萄牙语的单词。这些词都表明攻击者是出于经济动机，专门针对恢复短语（也称为“助记符”），这些短语可用于重新获得对加密货币钱包的访问权限！不幸的是，ComeCome 并不是我们发现的唯一一款嵌入恶意内容的应用程序。我们还发现了许多其他不相关的应用程序，涉及各种主题。截至撰写本文时，这些应用程序的安装次数总计超过 242,000 次，其中一些应用程序仍可在 Google Play 上访问。完整清单可在“入侵指标”部分找到。我们提醒 Google 其商店中存在受感染的应用程序。 此外，我们的遥测显示，恶意应用程序也通过非官方渠道传播。

不同应用的 SDK 功能可能略有不同。ComeCome 中的恶意软件仅在用户打开支持聊天时请求权限，而在其他一些情况下，启动核心功能会充当触发器

随后的调查发现，App Store 中的恶意应用程序感染了包含相同木马的框架。例如，iOS 版 ComeCome 的感染方式与 Android 版相同。这是首次在 Apple 官方应用市场中发现感染 OCR 间谍软件的应用程序。

全球大事件深挖报道专题 - 拜托拜托 （COMECOME）

以下内容来自卡巴斯基官网 标题：拿走我的钱：Google Play 和 App Store 中的 OCR 加密货币窃取者 链接：https://securelist.com/sparkcat-stealer-in-app-store-and-google-play/115385/

2023年3月，ESET 的研究人员发现多种消息应用的修改版中嵌入了恶意软件。这些恶意程序会扫描用户的图片库，寻找加密钱包的助记词恢复短语。该扫描过程利用了一个 OCR（光学字符识别）模型，识别受害者设备中的图像，并将筛选出的图像发送到控制服务器（C2）。该攻击活动针对 Android 和 Windows 用户，恶意软件通过非官方渠道传播。

到了2024年末，我们发现了一个新的恶意软件活动，并将其命名为“SparkCat”。攻击者使用了类似的手法，攻击对象扩展到了 Android 和 iOS 用户，且通过官方应用商店和非官方渠道同时传播。

我们得出的结论简述如下：

• 我们发现了多个 Android 和 iOS 应用，其中一些在 Google Play 和 Apple App Store 上架，这些应用内嵌有恶意的 SDK 或框架，用于窃取加密钱包的恢复短语。

• 被感染的 Google Play 应用下载量超过 24.2 万次。这也是首次在 Apple App Store 中发现此类窃取助记词的恶意软件。

• Android 恶意模块会解密并启动一个使用 Google 的 ML Kit 构建的 OCR 插件，识别图库中的图像内容。匹配到从 C2 接收到的关键字后，会将图像发送到服务器。

• 针对 iOS 的恶意模块也采用了类似的设计，同样依赖于 Google 的 ML Kit 进行 OCR 识别。

• 我们将这种恶意软件命名为“SparkCat”。它使用一种未公开的协议与 C2 通信，该协议使用 Rust 编程语言编写，而 Rust 在移动应用中极为少见。

• 根据恶意软件文件的时间戳及 GitLab 仓库中配置文件的创建时间判断，SparkCat 至少从 2024年3月起就已开始活动。

Google Play 应用中的恶意 SDK

我们首先注意到的是一款在阿联酋和印尼流行的外卖应用，名为 “ComeCome”（APK 包名：com.bintiger.mall.android）。研究时该应用仍可在 Google Play 上下载，下载次数超过 10,000 次。

除了 KeywordsProcessor，该恶意软件还包含另外两个处理器：DictProcessor 和 WordNumProcessor。前者使用资产中 rapp.binary 内解密存储的本地化词典过滤图像，后者按长度过滤单词。每个进程的 letterMin 和 letterMax 参数定义允许的单词长度范围。对于 DictProcessor，wordlistMatchMin 设置图像中字典单词匹配的最小阈值。对于 WordNumProcessor，wordMin 和 wordMax 定义识别单词总数的可接受范围。注册受感染设备的请求响应中的 rs 字段控制将使用哪个处理器。

符合搜索条件的图像分三步从设备下载。首先，将包含图像 MD5 哈希的请求发送到 C2 上的 /api/e/img/uploadedCheck。接下来，将图像上传到亚马逊的云存储或“rust”服务器上的 file@/api/res/send。之后，将图像链接上传到 C2 上的 /api/e/img/rekognition。因此，从软件包名称 com.spark.stat 可以看出，专为分析而设计的 SDK 实际上是选择性窃取图库内容的恶意软件。 我们问自己，攻击者在寻找什么样的图像。为了找到答案，我们从 C2 服务器请求了一系列关键字，以便进行基于 OCR 的搜索。在每种情况下，我们都会收到中文、日语、韩语、英语、捷克语、法语、意大利语、波兰语和葡萄牙语的单词。这些词都表明攻击者是出于经济动机，专门针对恢复短语（也称为“助记符”），这些短语可用于重新获得对加密货币钱包的访问权限！不幸的是，ComeCome 并不是我们发现的唯一一款嵌入恶意内容的应用程序。我们还发现了许多其他不相关的应用程序，涉及各种主题。截至撰写本文时，这些应用程序的安装次数总计超过 242,000 次，其中一些应用程序仍可在 Google Play 上访问。完整清单可在“入侵指标”部分找到。我们提醒 Google 其商店中存在受感染的应用程序。 此外，我们的遥测显示，恶意应用程序也通过非官方渠道传播。

不同应用的 SDK 功能可能略有不同。ComeCome 中的恶意软件仅在用户打开支持聊天时请求权限，而在其他一些情况下，启动核心功能会充当触发器

随后的调查发现，App Store 中的恶意应用程序感染了包含相同木马的框架。例如，iOS 版 ComeCome 的感染方式与 Android 版相同。这是首次在 Apple 官方应用市场中发现感染 OCR 间谍软件的应用程序。