https://yggf.net/tags/%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6/Recent content in 恶意软件 on 一个果粉Hugozh-cnMon, 10 Feb 2025 00:00:00 +0000https://yggf.net/sparkcat-malware-warning/Mon, 10 Feb 2025 00:00:00 +0000https://yggf.net/sparkcat-malware-warning/<p>（公开资料整理：卡巴斯基 2025 年 2 月报告及苹果后续处理通报。）</p> <p>App Store 的「围墙花园」神话，2 月初被凿开了一道口子。安全公司卡巴斯基披露了一个叫 SparkCat 的恶意模块：它藏在一些看起来完全正常的 App 里（包括一款外卖应用），一旦用户授予相册权限，它就用文字识别（OCR）一张张扫你的照片和截图，专门找加密货币钱包的助记词——找到就上传到攻击者的服务器。</p> <h2 id="为什么这件事值得单独写一篇">为什么这件事值得单独写一篇</h2> <p>第一，<strong>这是第一次</strong>。卡巴斯基明确指出：这是首例在苹果官方商店里发现的 OCR 间谍软件。此前这类东西只出现在非官方渠道下载的修改版 App 里。SparkCat 从 2024 年 3 月就开始活动，安卓侧的涉事 App 下载量超过 24 万次；苹果在报告发出后迅速下架了 11 款 App，并顺带发现另有 89 款含同款代码的 App 早已被拒或下架——这说明攻击者一直在系统性地试探审核。</p> <p>第二，<strong>它攻击的不是系统漏洞，是你的习惯</strong>。SparkCat 不需要越狱、不需要系统权限，它只要你点一下「允许访问所有照片」。很多人给 App 相册权限时想都不想——而相册里恰恰躺着最敏感的东西：助记词截图、身份证照片、银行卡照片。攻击者赌的就是这一点。</p> <p>第三，<strong>目标不止币圈</strong>。助记词是首要目标，但同样的 OCR 机制可以找密码、找证件、找任何「看起来像秘密」的文字。卡巴斯基评估该活动主要针对欧洲和亚洲用户——也就是包括我们在内的地区。</p> <h2 id="三个防护动作照着做">三个防护动作，照着做</h2> <ol> <li><strong>相册权限改成「选中的照片」</strong>：设置 → 隐私与安全性 → 照片，逐个检查给过「所有照片」权限的 App。iOS 14 就给了这个选项：只给 App 看它需要的那几张，而不是整个相册。外卖、购物、工具类 App，几乎都不需要全部照片。</li> <li><strong>助记词永远不要截图存相册</strong>：这是本篇最重要的一句话。助记词只写在纸上、离线保存。任何以图片形式存在联网设备里的助记词，都等于把保险柜钥匙贴在了大门上。</li> <li><strong>定期看 App 隐私报告</strong>：设置 → 隐私与安全性 → App 隐私报告，能看到每个 App 最近访问照片、位置、麦克风的记录。某个 App 半夜频繁读相册，就是危险信号。</li> </ol> <h2 id="小果结论">小果结论</h2> <p>SparkCat 之后，「App Store 里就安全」这句话要改成「<strong>App Store 里相对安全，但你的权限设置才是最后一道锁</strong>」。下架的 11 款 App 只是被发现的部分，真正防住下一批 SparkCat 的，是你亲手收紧的那个相册权限。今晚花五分钟，按上面第一条过一遍。</p>