SparkKitty Trojaner gefährdet Krypto Wallets und Seed Phrasen

Der SparkKitty-Trojaner entwickelt sich zu einer der heikelsten Bedrohungen für Krypto-Nutzer: Die Malware tarnt sich als harmlose App, greift auf Fotos und Gerätespeicher zu und sucht dort nach Screenshots mit Wallet-Daten, Recovery-Phrasen oder Login-Informationen. Sicherheitsforscher von Kaspersky und weiteren Teams berichten seit Juni 2025 über eine neue Welle von Angriffen, die vor allem über manipulierte Apps, Fake-Wallets und getarnte Installationspakete auf iOS und Android in Umlauf kommt. Besonders riskant ist die Kombination aus stehendem Zugriff auf Medienbibliotheken, automatischer Exfiltration und der Tatsache, dass viele Nutzer Seed-Phrasen immer noch als Screenshot sichern. Für Betroffene geht es deshalb nicht nur um das Löschen einer App, sondern um die schnelle Absicherung von Wallets, Accounts und Geräten.

Was SparkKitty macht und weshalb der Trojaner so gefährlich ist

SparkKitty gehört zur Klasse der Spionage- und Diebstahl-Malware mit klarem Fokus auf Krypto-Assets. Im Unterschied zu klassischer Ransomware sperrt sie das Gerät nicht sichtbar ein, sondern arbeitet im Hintergrund und sammelt verwertbare Daten. Nach Angaben von Kaspersky und Bitdefender-Analysen versucht der Trojaner vor allem, Bilder und Screenshots auszulesen, in denen Nutzer ihre Wallet-Schlüssel, Seed-Phrasen, QR-Codes, Passwörter oder Wiederherstellungsdaten abgelegt haben. Genau das macht ihn so gefährlich: Viele Angriffe brauchen keinen komplizierten Exploit, sondern nur den einen Screenshot im Fotoalbum oder eine schlecht geschützte Notiz auf dem Handy.

Die Malware zielt dabei nicht nur auf einzelne Krypto-Wallets, sondern auf das gesamte Umfeld des Nutzers. Werden E-Mail-Postfächer, Messenger oder Cloud-Synchronisation mit kompromittiert, können Angreifer die Kontrolle über Börsenkonten, Authenticator-Backups oder Passwort-Resets übernehmen. Der eigentliche Diebstahl erfolgt oft erst Stunden oder Tage nach der Infektion, wenn die gesammelten Daten ausgeleitet und ausgewertet wurden. Gerade deshalb fällt SparkKitty vielen Opfern erst auf, wenn Guthaben bereits verschoben ist.

So arbeitet SparkKitty technisch: Screenshot-Diebstahl, Exfiltration und Tarnung

Die technische Analyse zeigt ein typisches Muster moderner Mobile-Malware: Zuerst verschafft sich die App über eine plausible Tarnung Vertrauen, dann fordert sie Berechtigungen an, die für den eigentlichen Zweck unnötig weit gehen. Auf Android sind das häufig Zugriffe auf Speicher, Medien und Benachrichtigungen; auf iOS sind es vor allem Wege über manipulierte TestFlight- oder Enterprise-Distributionen sowie missbrauchte App-Profile. Hat die App Zugriff auf Bilder, scannt sie die Galerie nach typischen Inhalten: Screenshots mit Wallet-Seed, Fotos von Recovery-Karten, QR-Codes von Börsen-Logins oder Dateien mit Namen wie „backup“, „seed“, „wallet“ oder „passphrase“.

Besonders perfide ist die Kombination aus automatischer Bildauswertung und Datenabfluss. Kaspersky beschreibt, dass SparkKitty nicht einfach nur Bilder kopiert, sondern Metadaten, Gerätedaten und ausgewählte Inhalte an Steuerungsserver sendet. In mehreren Fällen wurden Verbindungen zu wechselnden Infrastrukturen beobachtet, was die Abschaltung erschwert. Gleichzeitig nutzen die Angreifer legitime App-Mechaniken, damit der Datenverkehr zunächst unauffällig wirkt. Für Sicherheitsprodukte ist das schwieriger zu erkennen als bei klassischer Schadsoftware mit klaren Schadcode-Signaturen.

Die Forscher weisen zudem auf modulare Varianten hin, die Funktionen nachladen können. Dadurch lassen sich Zieldaten je nach Gerät, Land oder App-Umfeld anpassen. In der Praxis bedeutet das: Eine Fake-Wallet-App kann sich auf iOS anders verhalten als auf Android, aber das Ziel bleibt gleich – Zugangsdaten, Seed-Phrasen und Kontoinformationen abgreifen und für Wallet-Diebstahl nutzbar machen.

Verbreitungswege, betroffene Plattformen und bekannte Tarnungen

SparkKitty verbreitet sich vor allem über manipulierte Apps, die in Design und Funktion an seriöse Krypto-Tools erinnern. Genannt wurden in den Berichten etwa gefälschte Wallet-Anwendungen, Krypto-Tracker, einfache Trading-Tools und Anwendungen mit Sprach- oder Foto-Funktionen, die einen breiten Berechtigungszugriff plausibel erscheinen lassen. Auf Android tauchten infizierte Pakete ausserhalb des Play Stores und über Drittanbieter-Quellen auf. Auf iOS wurden missbrauchte Verteilungswege über TestFlight-nahe Mechanismen, Unternehmensprofile und gefälschte Hilfs-Apps beschrieben.

Die betroffenen Plattformen sind damit klar umrissen: iOS und Android sind beide betroffen, wobei die Angriffe jeweils an die Plattform angepasst werden. Sicherheitsforscher verweisen darauf, dass iOS-Nutzer nicht automatisch sicherer sind, nur weil der App Store strenger wirkt. Sobald Nutzer Profile installieren, Apps aus inoffiziellen Quellen laden oder Anweisungen folgen, die ausserhalb des regulären Vertriebs liegen, steigt das Risiko massiv. Android bleibt wegen der offenen Installationswege strukturell stärker exponiert, doch die aktuelle Kampagne zeigt, dass auch Apple-Geräte kein Schutzschild gegen gezielte Mobile-Malware sind.

Besonders häufig sind laut den bisherigen Berichten App-Namen und Auftritte, die Vertrauen simulieren: Wallet-Tools mit generischen Bezeichnungen, angebliche Sicherheits-Apps, Trading-Dashboards oder Cloud-Utilities. Ein sauberer Markenauftritt sagt dabei wenig aus. Entscheidend ist, woher die App stammt, welche Rechte sie fordert und ob sie überhaupt einen Grund hat, auf die Fotobibliothek zuzugreifen.

Indikatoren für eine Kompromittierung und was sofort zu prüfen ist

Wer den Verdacht hat, SparkKitty oder eine ähnliche Malware auf dem Gerät zu haben, sollte zuerst auf Verhaltenssignale achten. Verdächtig sind ungewöhnlich hoher Akkuverbrauch, unerklärlicher Datenverkehr, Apps mit Zugriff auf Fotos oder Dateien, die diesen Zugriff für ihre Funktion nicht benötigen, sowie neue Profile, VPN-Konfigurationen oder Verwaltungseinstellungen. Auf Android fallen oft Hintergrundprozesse auf, die trotz geschlossener App aktiv bleiben. Auf iPhone und iPad sind ungewohnte Konfigurationsprofile, Zertifikate oder enterprise-signierte Apps ein ernstes Warnsignal.

Auch auf Wallet-Ebene gibt es Hinweise: Transaktionen, die nicht selbst ausgelöst wurden, neue Login-Benachrichtigungen von Börsen, Änderungen an Zwei-Faktor-Einstellungen oder Wiederherstellungsmails von Exchanges, die man nicht angefordert hat. Wenn Screenshots von Seed-Phrasen, Passwörtern oder QR-Codes auf dem Gerät liegen, gilt das bereits als Sicherheitsrisiko, selbst wenn noch keine Schäden sichtbar sind. Bei Krypto-Wallets reicht oft ein einziges kompromittiertes Backup, um später Zugriff auf Gelder zu erhalten.

Wichtige technische Spuren

Bereich	Verdächtiges Signal	Was es bedeuten kann
Apps	Fake-Wallet, Trading-Tool, Foto- oder Utility-App mit breiten Rechten	Versteckte Spionagefunktion
Fotos	Suchzugriffe auf Galerie, ungewöhnliche Uploads, Screenshots mit Seed-Phrase	Datenabfluss von Wallet-Schlüsseln
Netzwerk	Regelmässige Verbindungen zu unbekannten Domains oder IPs	Exfiltration an C2-Infrastruktur
System	Neue Profile, Zertifikate, VPNs oder Hintergrunddienste	Persistenz und Steuerung der Malware

Konkrete IoCs wie Hashes, Domains oder Paketnamen ändern sich bei SparkKitty laufend und werden von den Forschern in ihren laufenden Berichten ergänzt. Kaspersky verweist auf fortlaufend aktualisierte Erkennungen und auf die Infrastruktur der Kampagne; aktuelle Listen finden sich in den Veröffentlichungen der Firma sowie in ergänzenden Analysen von ESET, Bitdefender und mobilen Bedrohungsdatenbanken. Für eine forensische Prüfung sind diese Quellen wichtiger als statische Einzelwerte, weil die Angreifer ihre Server und App-Varianten rasch austauschen.

Was Betroffene jetzt tun sollten, um Wallets und Geräte zu sichern

Die dringendste Massnahme ist nicht das Löschen der Malware allein, sondern die sofortige Absicherung aller Krypto-Zugänge. Wer den Verdacht auf SparkKitty hat, sollte das betroffene Gerät nach Möglichkeit vom Netz nehmen, keine weiteren Apps installieren und von einem sauberen Zweitgerät aus handeln. Zuerst müssen Exchange-Konten, E-Mail-Konten und Passwortmanager gesichert werden. Dann folgen Wallets mit eigener Seed-Phrase, insbesondere Hot Wallets, die auf dem betroffenen Gerät genutzt wurden.

Wenn ein Screenshot oder Foto mit Recovery-Daten auf dem Gerät gespeichert war, ist die Seed-Phrase als kompromittiert zu behandeln. In diesem Fall hilft nur die Migration auf eine neue Wallet mit neuer Seed-Phrase. Guthaben sollten auf eine frische Adresse übertragen werden, die nie auf dem infizierten Gerät sichtbar war. Für grössere Bestände ist eine Hardware-Wallet die deutlich bessere Lösung, weil der private Schlüssel das Gerät nicht verlässt. Wichtig ist auch, Zwei-Faktor-Authentifizierung nicht über SMS zu sichern, sondern über eine separate Authenticator-App oder, noch besser, über Hardware-basierte Schlüssel.

Zur Bereinigung gehört anschliessend das Entfernen verdächtiger Apps, Profile und Zertifikate sowie ein vollständiges Update des Betriebssystems. Bei hartnäckigen Fällen ist ein Werksreset die sauberste Lösung, allerdings erst nach dem Sichern von Fotos und Dateien, die vorher auf Schadsoftware geprüft wurden. Backup-Dateien sollten nicht blind zurückgespielt werden, wenn sie aus dem kompromittierten Umfeld stammen. Wer Passwörter wiederverwendet hat, muss sie sofort ändern, beginnend bei E-Mail, Banken, Börsen und Passwortmanagern.

Praktisch bewährt hat sich eine einfache Reihenfolge: Infizieretes Gerät isolieren, Konten sperren, Seed-Phrasen ersetzen, Guthaben verschieben, App- und Profilberechtigungen prüfen, dann neu aufsetzen. Genau diese Reihenfolge reduziert das Risiko, dass Angreifer nach dem ersten Fund weitere Konten übernehmen.

Rechtliche Folgen, Anlegerklagen gegen Apple und die Einordnung durch Forscher

Parallel zur technischen Aufarbeitung gewinnt der rechtliche Druck an Fahrt. Nach den jüngsten Berichten über betrügerische oder missbräuchlich verteilte Krypto-Apps mehren sich Klagen von Anlegern gegen Apple, weil Nutzer sich vom App-Ökosystem und dessen Prüfsystem in falscher Sicherheit wiegen fühlten. Im Kern geht es um die Frage, ob die Plattform genug getan hat, um betrügerische Inhalte, Profile und getarnte Apps frühzeitig zu erkennen und zu entfernen. Für betroffene Nutzer ist das relevant, weil mögliche Sammelklagen, Vergleiche oder Regulierungsfolgen Entschädigungswege eröffnen könnten.

Die Sicherheitsforscher bleiben dennoch klar: Kein App-Store schützt automatisch vor social engineering, manipulativen Verteilungswegen und gefälschten Wallets. Gerade bei Krypto-Apps entscheidet die Herkunft der Installation häufiger über die Sicherheit als die Oberfläche der App selbst. Gleichzeitig dürften die aktuellen Fälle den Druck auf Apple und Google erhöhen, Profile, TestFlight-Workflows, Unternehmenszertifikate und Drittanbieter-Installationen strenger zu kontrollieren. Für die Branche ist SparkKitty deshalb mehr als nur eine weitere Malware-Kampagne – sie zeigt, wie schnell sich Mobile-Sicherheit und Krypto-Diebstahl verbinden lassen.

Fazit: Bei SparkKitty zählt jede Minute

SparkKitty ist kein gewöhnlicher Schädling, sondern eine zielgerichtete Malware für den Diebstahl von Krypto-Zugängen. Die Gefahr liegt in der Kombination aus getarnter App, Zugriff auf Fotodaten und der Schwäche vieler Nutzer, Seed-Phrasen als Screenshot zu speichern. Wer ein kompromittiertes Gerät vermutet, sollte Wallets und Konten sofort von einem sauberen System aus absichern, Guthaben auf neue Adressen verschieben und kompromittierte Seed-Phrasen vollständig ersetzen. Besonders wichtig sind saubere Installationsquellen, restriktive App-Berechtigungen und die Trennung zwischen Alltagsgerät und Krypto-Verwaltung. Mit jeder neuen Analyse werden die technischen Details klarer, doch die Grundregel bleibt gleich: Was einmal auf dem infizierten Gerät sichtbar war, muss im Krypto-Umfeld als potenziell verloren gelten.