Malware SparkKitty Mencuri Frasa Pemulihan Kripto dari Foto iPhone dan Android

Check Point memublikasikan analisis pada hari Minggu tentang SparkKitty, malware lintas platform yang menyusup ke App Store milik Apple dan Google Play serta memindai perpustakaan foto pengguna untuk frasa pemulihan dompet kripto menggunakan pengenalan karakter optik. Kaspersky menemukan malware tersebut pada awal 2024 dan merincinya secara publik pada Juni 2025, mengidentifikasinya sebagai evolusi langsung dari pencuri SparkCat. Malware ini beroperasi di dalam aplikasi iOS 币coin dan aplikasi Android SOEX, yang menembus lebih dari 10.000 unduhan di Google Play sebelum dihapus, meski baik Check Point maupun Kaspersky tidak memublikasikan jumlah korban atau angka kerugian.

SparkKitty Memindai Perpustakaan Foto Menggunakan Pengenalan Karakter Optik

Di iOS, muatan (payload) berada di dalam aplikasi kripto bernama 币coin, yang dipublikasikan di App Store, dan menyembunyikan fungsinya di dalam kerangka kerja yang diobfusikasi untuk lolos dari peninjauan Apple. Check Point mengatakan masih belum jelas apakah akun pengembang tersebut dibobol atau ikut terlibat. Versi Android masuk ke SOEX, sebuah aplikasi yang ditampilkan sebagai aplikasi perpesanan dengan fitur pertukaran kripto, dan sempat mencapai lebih dari 10.000 unduhan di Google Play sebelum ditarik.

Setelah diberi akses galeri, SparkKitty memantau direktori gambar dan secara berkala memindai isinya dengan pustaka pengenalan teks bawaan, mencari teks yang dapat dibaca dalam tangkapan layar: frasa pemulihan, kata sandi, dan kode QR. Apa pun yang ditemukan dikirim ke server command-and-control bersama pengenal perangkat. Kedua aplikasi resmi di toko tersebut sudah dihapus, dan daftar indikator yang dipublikasikan Check Point memuat entri bertanggal Juni 2025, bersama entri yang lebih baru dari April 2026.

Malware Menyebar Lewat Toko Aplikasi Resmi dan Aplikasi yang Dimodifikasi

Varian juga menyebar lewat toko pihak ketiga dan installer yang disampingkan, termasuk klon TikTok yang dimodifikasi dan aplikasi perjudian, serta menggunakan modul framework Xposed untuk bertahan di perangkat yang sudah di-root. Peneliti Kaspersky Sergey Puzan mengatakan build TikTok yang terinfeksi turut menyematkan tautan ke toko yang mencurigakan di profil korban selama proses masuk.

Check Point memetakan kampanye tersebut ke teknik seperti mengirim aplikasi berbahaya melalui toko aplikasi yang terotorisasi dan mengumpulkan data aplikasi yang tersimpan. Varian SparkCat lain muncul di aplikasi iOS dan Android pada April 2026, menargetkan gambar dengan frasa pemulihan yang sama.

Peneliti Kaspersky dan Check Point Merinci Cara Kerja Malware

“Para penyerang mungkin kemudian mencoba menemukan berbagai data rahasia dalam gambar, misalnya frasa pemulihan dompet kripto untuk mengakses aset para korban,” kata peneliti Kaspersky Dmitry Kalinin saat malware itu dibongkar. Menurut Check Point dan Kaspersky, SparkKitty adalah evolusi langsung dari SparkCat, pencuri informasi yang lebih dulu dan setidaknya sejak Maret 2024 sudah memindai galeri gambar.

FAQ

Apa yang dilakukan malware SparkKitty di perangkat iOS dan Android?

SparkKitty memindai perpustakaan foto pengguna menggunakan pengenalan karakter optik untuk menemukan frasa pemulihan dompet kripto, kata sandi, dan kode QR yang tersimpan dalam tangkapan layar, lalu mengirim data tersebut ke server command-and-control.

Bagaimana SparkKitty mencapai App Store milik Apple dan Google Play?

Malware menyembunyikan diri di dalam aplikasi iOS 币coin dengan kerangka kerja yang diobfusikasi untuk menghindari peninjauan Apple, dan di dalam aplikasi Android SOEX yang ditampilkan sebagai aplikasi perpesanan dengan fitur pertukaran kripto serta mencapai lebih dari 10.000 unduhan di Google Play sebelum dihapus.