Le malware SparkKitty analyse les photos prises sur mobile à la recherche d’expressions de seed de portefeuilles crypto

Le malware SparkKitty a été distribué via l’App Store d’Apple, Google Play et des boutiques d’applications Android tierces, en ciblant les utilisateurs de cryptomonnaies en scannant des photos à la recherche de phrases de récupération de portefeuille, selon un rapport de Check Point publié dimanche. Le malware utilise la reconnaissance optique de caractères (OCR) pour rechercher, dans les images stockées sur les appareils infectés, des phrases seed de portefeuille de cryptomonnaies, permettant aux attaquants d’extraire des identifiants sensibles sans journalisation des frappes au clavier ni surveillance du presse-papiers. Check Point a identifié SparkKitty comme une évolution de SparkCat, un voleur basé sur l’OCR documenté par Kaspersky, notant que le malware se propage via des applications trojanisées se faisant passer pour des services de cryptomonnaies, des plateformes de messagerie et des applications de divertissement.

SparkKitty utilise l’OCR pour extraire des identifiants de portefeuille à partir de photos

Une fois installées, les applications demandent l’autorisation d’accéder à la photothèque d’un utilisateur avant de scanner en continu les images existantes et nouvellement ajoutées. Le texte extrait des images, y compris les phrases seed de portefeuille, les mots de passe et les données de codes QR, est transmis à une infrastructure de commandement et de contrôle contrôlée par l’attaquant, avec des informations de base sur l’appareil, selon le rapport. Check Point a déclaré que les utilisateurs qui stockent des phrases de récupération de portefeuille sous forme de captures d’écran ou de photographies sont les plus exposés, car la possession d’une phrase seed permet d’accéder intégralement à un portefeuille de cryptomonnaies compatible.

Application iOS « 币coin » distribuée par un malware via l’App Store

Sur iOS, Check Point a indiqué que le malware était intégré dans une application liée aux cryptomonnaies appelée « 币coin », disponible via l’App Store. La fonctionnalité malveillante était dissimulée dans des frameworks obscurcis, y compris AFNetworking et libswiftDarwin.dylib, permettant à l’application de passer le processus de validation d’Apple, selon le rapport. Il reste incertain si le compte développeur à l’origine de l’application a été compromis ou s’il était impliqué en connaissance de cause.

Sur Android, l’application « SOEX » a cumulé 10 000+ téléchargements avant suppression

Sur Android, les chercheurs ont identifié SparkKitty dans une application appelée « SOEX », qui se présentait comme une plateforme de messagerie et d’échange de cryptomonnaies. L’application a cumulé plus de 10 000 téléchargements sur Google Play avant d’être retirée, selon Check Point. Le rapport indiquait que d’autres variantes Android étaient distribuées via des boutiques d’applications tierces, des APK sideloadés, des applications TikTok modifiées et des applications de jeux d’argent. Sur des appareils rootés, certains échantillons utilisaient des modules du framework Xposed pour maintenir la persistance.

Check Point recommande de stocker hors ligne les phrases de récupération de portefeuille

Le rapport recommande d’éviter les captures d’écran des phrases de récupération de portefeuille, de limiter les autorisations de photothèque aux applications qui en ont besoin, de ne télécharger des logiciels que depuis des sources fiables et de revoir régulièrement les autorisations des applications. Check Point conseille également de stocker les phrases de récupération hors ligne, par exemple sur papier ou via des solutions de sauvegarde de portefeuille matériel, plutôt que dans la galerie photo d’un appareil.

FAQ

Que fait le malware SparkKitty sur les appareils mobiles infectés ?
SparkKitty utilise la reconnaissance optique de caractères (OCR) pour scanner les images stockées sur les appareils infectés à la recherche de phrases seed de portefeuille de cryptomonnaies, de mots de passe et de données de codes QR. Le malware demande l’autorisation d’accéder à la photothèque d’un utilisateur et scanne en continu les images existantes et nouvellement ajoutées, en transmettant le texte extrait à une infrastructure contrôlée par l’attaquant.

Combien de téléchargements l’application Android « SOEX » a-t-elle accumulés avant d’être supprimée ?
L’application Android « SOEX », qui contenait le malware SparkKitty et se présentait comme une plateforme de messagerie et d’échange de cryptomonnaies, a cumulé plus de 10 000 téléchargements sur Google Play avant d’être retirée, selon le rapport de Check Point publié dimanche.