SparkKittyマルウェアは、日曜に公開されたCheck Pointのレポートによると、AppleのApp Store、Google Play、サードパーティのAndroidアプリストアを通じて配布されており、ウォレットの復旧用フレーズを写真からスキャンすることで暗号資産ユーザーを標的にしている。マルウェアは光学式文字認識（OCR）を用いて、感染した端末に保存された画像内を暗号資産ウォレットのシードフレーズの検索対象にする。これにより、攻撃者はキーストロークの記録やクリップボードの監視を行わずに機密クレデンシャルを抽出できる。Check Pointは、SparkKittyをKasperskyによって文書化されたOCRベースの情報窃取型マルウェアSparkCatの進化版だと特定し、暗号資産関連のサービス、メッセージングプラットフォーム、エンターテインメントアプリに見せかけたトロイ化アプリを通じて拡散するとしている。
SparkKittyはOCRを使って写真からウォレットの認証情報を抽出する
インストール後、アプリはユーザーの写真ライブラリにアクセスする許可を求め、その後、既存および新しく追加された画像を継続的にスキャンする。レポートによると、画像から抽出されたテキスト（ウォレットのシードフレーズ、パスワード、QRコードデータなど）は、基本的な端末情報とともに、攻撃者が制御する指令・制御（C2）インフラへ送信される。Check Pointは、ウォレットの復旧用フレーズをスクリーンショットや写真として保存しているユーザーが最も大きな危険にさらされると述べている。シードフレーズを所持していれば、互換性のある暗号資産ウォレットに完全にアクセスできるためだ。
iOSアプリ「币coin」でApple App Store経由の分散型マルウェア
iOSでは、Check Pointによれば、マルウェアはApp Storeで入手可能な「币coin」という暗号資産関連アプリに埋め込まれていた。レポートによると、有害な機能は、AFNetworkingやlibswiftDarwin.dylibなどの難読化されたフレームワーク内に隠されており、アプリがAppleの審査プロセスを通過できるようになっていた。アプリの開発者アカウントが侵害されたのか、それとも意図的に関与していたのかは不明のままだ。
Androidアプリ「SOEX」は削除されるまでに10,000回以上のダウンロードを蓄積
Androidでは、研究者らが「SOEX」という名称のアプリ内でSparkKittyを確認した。このアプリは、メッセージングおよび暗号資産の取引所プラットフォームとして見せかけていた。Check Pointによると、このアプリは削除される前にGoogle Playで10,000回以上のダウンロードを獲得していた。レポートでは、追加のAndroid亜種はサードパーティのアプリストア、サイドローディングされたAPK、改変されたTikTokアプリ、そして賭博アプリを通じて配布されたとされている。ルート化された端末では、一部のサンプルでXposedフレームワークのモジュールを使用して永続性を維持していた。
Check Pointはウォレット復旧用フレーズのオフライン保管を推奨
レポートは、ウォレット復旧用フレーズのスクリーンショットを避け、写真ライブラリの権限をそれを必要とするアプリに限定し、信頼できるソースからのみソフトウェアをダウンロードし、アプリの権限を定期的に確認することを推奨している。Check Pointはさらに、復旧用フレーズは端末のフォトギャラリーではなく、紙に書くなどのオフライン、またはハードウェアウォレットのバックアップソリューション上に保存するよう助言している。
FAQ
感染したモバイル端末上でSparkKittyマルウェアは何をするのですか？
SparkKittyは光学式文字認識（OCR）を用いて、感染した端末に保存された画像をスキャンし、暗号資産ウォレットのシードフレーズ、パスワード、QRコードデータを探します。マルウェアはユーザーの写真ライブラリへのアクセス許可を要求し、既存および新しく追加された画像を継続的にスキャンしたうえで、抽出したテキストを攻撃者が制御するインフラへ送信します。
SOEX Androidアプリは削除される前に何回のダウンロードを集めましたか？
Check Pointのレポート（先週日曜に公開）によると、SparkKittyマルウェアを含み、メッセージングおよび暗号資産の取引所プラットフォームとして見せかけていたSOEX Androidアプリは、削除される前にGoogle Playで10,000回以上のダウンロードを獲得していました。
