В App Store впервые обнаружены приложения с вредоносным ПО для чтения скриншотов

В приложениях, распространяемых через магазины приложений Apple и Google, скрывается вредоносный код для чтения скриншотов, который используется для кражи криптовалюты, сообщил «Касперский». Это «первый известный случай», когда приложения, зараженные вредоносным кодом, использующим технологию OCR для извлечения текста из изображений, попадали в Apple App Store, говорится в блоге компании, где подробно описываются результаты исследования.

Исследователи утверждают, что обнаружили код этой конкретной вредоносной кампании, которую он называет SparkCat, в конце 2024 года, а фреймворк для нее был создан, по-видимому, в марте того же года.

На iOS вредоносная программа работает, получая доступ к фотогалереям пользователей, когда они пытаются воспользоваться поддержкой чата в зараженном приложении. Получив разрешение, вредоносная программа использует технологию Google ML Kit, которая позволяет расшифровывать текст на фотографиях, в поисках таких вещей, как скриншоты паролей криптовалютных кошельков или фраз для восстановления. Затем программа отправляет найденные данные злоумышленникам, которые могут использовать эту информацию для доступа к кошелькам и кражи криптовалюты.

Хотя приложения нацелены на кражу криптовалютной информации, Касперский утверждает, что вредоносная программа достаточно гибкая и может быть использована для доступа к другим данным, полученным на скриншотах, например, паролям. Приложения для Android также затронуты, включая приложения из Google Play Store, но пользователи iOS часто ожидают, что их устройства будут защищены от вредоносного ПО.

“Касперский” говорит, что не может «с уверенностью подтвердить, что заражение произошло в результате атаки по цепочке поставок или преднамеренных действий разработчиков». Компания называет два чат-приложения с искусственным интеллектом, которые, похоже, были созданы в рамках этой кампании и, судя по всему, все еще доступны в App Store: WeTink и AnyGPT. Кроме того, “Касперский” обнаружил вредоносный код в легитимном, на первый взгляд, приложении для доставки еды ComeCome, которое также можно еще загрузить.

Эксперты советуют пользователям не хранить скриншоты с конфиденциальной информацией, например, этапами восстановления криптокошельков, в своей Галерее, чтобы обезопасить себя от подобного рода атак.