Novo Spyware “SparkKitty” Mira Carteiras de Criptomoedas Através da App Store e Google Play

Pesquisadores de segurança identificaram um novo spyware chamado SparkKitty, que rouba fotos de smartphones para acessar carteiras de criptomoedas

O spyware, inicialmente relatado pela Kaspersky, parece estar conectado a uma cepa de malware anteriormente conhecida como SparkCat. Ele infectou vários aplicativos tanto na App Store quanto na Google Play, embora alguns já tenham sido removidos.

As pesquisadoras explicam que o SparkKitty espalhou aplicações falsas que imitam plataformas bem conhecidas, incluindo o TikTok. Uma vez instalados, os aplicativos maliciosos solicitam acesso à galeria de fotos do usuário.

Algumas versões roubam todas as imagens, enquanto outras usam reconhecimento óptico de caracteres (OCR) para procurar frases-chave de carteiras cripto, que são códigos únicos que dão acesso a moedas digitais.

Em iPhones, o malware está escondido dentro de falsos frameworks de software que imitam os legítimos, como AFNetworking ou Alamofire. Em dispositivos Android, o spyware se incorpora como módulos maliciosos dentro de aplicativos, particularmente aqueles relacionados a mensagens ou criptomoedas.

Kaspersky explica que a campanha iniciou suas operações em fevereiro de 2024 e se espalhou por ambas as lojas de aplicativos não autorizadas, bem como canais oficiais de distribuição. A detecção inicial do malware ocorreu através de falsos aplicativos do TikTok, que redirecionavam os usuários para uma falsa loja online chamada “TikToki Mall”, que aceitava pagamentos em criptomoedas.

Usuários que acessaram o site a partir de seus iPhones viram páginas falsas da App Store que os enganaram para instalar aplicativos infectados. Hackers também abusaram do Programa de Desenvolvedor Corporativo da Apple para distribuir seu malware, contornando a segurança regular da App Store.

Após a infecção, o aplicativo verifica os códigos de ativação, entra em contato com um servidor remoto para instruções e faz upload de fotos roubadas para servidores controlados por hackers.

Os pesquisadores relatam que um aplicativo de mensagens falso com criptomoedas foi baixado mais de 10.000 vezes antes dos pesquisadores de segurança descobrirem sua natureza maliciosa.

A maioria das vítimas está no sudeste da Ásia e na China, com muitos aplicativos infectados apresentando conteúdo de jogos de azar ou para adultos. No entanto, o spyware pode mirar usuários em todo o mundo. SparkKitty compartilha características técnicas com SparkCat, sugerindo uma conexão direta entre as duas campanhas.

Para se manterem protegidos, os usuários devem evitar lojas de aplicativos de terceiros, verificar cuidadosamente as permissões dos aplicativos e manter seus dispositivos atualizados. Até mesmo fotos não relacionadas à criptomoeda podem estar em risco com essa ameaça contínua de spyware.