SparkKitty नामक एक मोबाइल स्पाईवेयर अभियान तब फिर से सुर्खियों में आया है जब रिपोर्टों ने चेतावनी दी है कि संक्रमित iOS और Android ऐप्स फोन गैलरी में संग्रहीत क्रिप्टो वॉलेट रिकवरी वाक्यांशों को उजागर कर सकते हैं। 

यह मैलवेयर फोटो तक पहुँच प्राप्त करता है, तस्वीरें एकत्र करता है और उन्हें हमलावर-नियंत्रित सर्वर पर भेजता है।

हालांकि, यह जुलाई 2026 में खोजी गई कोई नई धमकी नहीं है। कैस्पर्सकी ने 23 जून, 2025 को एक तकनीकी रिपोर्ट प्रकाशित की थी, जिसमें Apple के ऐप स्टोर, Google Play और अनौपचारिक चैनलों में SparkKitty पाया गया था। हाल के Cyberint लेख ने इसी मैलवेयर परिवार के इर्द-गिर्द ध्यान फिर से केंद्रित किया है।

SparkKitty अभियान 2024 से चला आ रहा है

कैस्पर्सकी ने SparkKitty को SparkCat से जोड़ा, जो एक पहले का मोबाइल स्टीलर था जिसने वॉलेट सीड वाक्यांशों के लिए स्क्रीनशॉट खोजने के लिए ऑप्टिकल कैरेक्टर रिकॉग्निशन का उपयोग किया था। SparkKitty ने संबंधित वितरण विधियों का उपयोग किया, लेकिन कई नमूनों ने केवल रिकवरी शब्द वाली फाइलों का चयन करने के बजाय गैलरी की तस्वीरें अपलोड कीं।

शोधकर्ताओं ने एक संबंधित समूह भी पाया जिसने विशेष छवियों को चुनने के लिए OCR का उपयोग किया। इसलिए मैलवेयर पासवर्ड, पहचान दस्तावेज और क्यूआर कोड उजागर कर सकता है। कैस्पर्सकी ने कहा कि उसका "मानना है" कि मुख्य लक्ष्य क्रिप्टो संपत्ति से संबंधित था, जबकि यह भी बताया कि कुछ नमूनों में सीधा प्रमाण नहीं था।

यह अभियान कम से कम फरवरी 2024 से चल रहा था और मुख्य रूप से दक्षिण पूर्व एशिया और चीन को लक्षित कर रहा था। जैसा कि crypto.news ने जून 2025 में रिपोर्ट किया था, यह नकली क्रिप्टो टूल, संशोधित सोशल ऐप, जुए के उत्पादों और अन्य एप्लिकेशन के माध्यम से फैला था।

अप्रैल 2026 में, कैस्पर्सकी ने दो ऐप स्टोर ऐप्स और एक Google Play ऐप में एक नए SparkCat वैरिएंट की सूचना दी। उस खोज ने OCR-आधारित गैलरी चोरी के निरंतर उपयोग को दिखाया, लेकिन इसने यह पुष्टि नहीं की कि SparkKitty खुद लौट आया था।

मैलवेयर डेटा चोरी करने के लिए फोटो अनुमतियों का उपयोग करता है

iOS पर, शोधकर्ताओं ने संशोधित फ्रेमवर्क के भीतर दुर्भावनापूर्ण कोड पाया जो सामान्य विकास पुस्तकालयों की नकल करता था, जिसमें AFNetworking और Alamofire शामिल हैं। अन्य संस्करणों ने पेलोड को libswiftDarwin.dylib नामक एक अस्पष्ट फाइल में छिपाया या इसे सीधे एक एप्लिकेशन के अंदर रखा।

लॉन्च होने के बाद, मैलवेयर ने दूरस्थ इन्फ्रास्ट्रक्चर से संपर्क किया और फोटो गैलरी तक पहुंच का अनुरोध किया। एक बार जब उपयोगकर्ता ने अनुरोध को मंजूरी दे दी, तो इसने तस्वीरों की निगरानी की और उन फाइलों को अपलोड किया जो उसने पहले नहीं भेजी थीं। यह नई जोड़ी गई छवियों को भी एकत्र कर सकता था।

Android पर, SparkKitty Java और Kotlin संस्करणों में दिखाई दिया। कुछ नमूने रूट किए गए उपकरणों पर Xposed मॉड्यूल के रूप में संचालित हुए। उन्होंने कमांड सर्वर से संपर्क किया और संक्रमित डिवाइस और एप्लिकेशन के बारे में जानकारी के साथ तस्वीरें स्थानांतरित कीं।

यह दृष्टिकोण उस मैलवेयर से भिन्न है जो कीस्ट्रोक रिकॉर्ड करता है या कॉपी किए गए वॉलेट पते को बदलता है। जैसा कि crypto.news ने जून 2026 में रिपोर्ट किया था, माइक्रोसॉफ्ट ने अलग क्लिपर मैलवेयर को ट्रैक किया था जो क्लिपबोर्ड पर नज़र रखता था, वॉलेट क्रेडेंशियल चुराता था और बैकडोर कमांड का समर्थन करता था।

संक्रमित ऐप्स आधिकारिक स्टोर तक पहुंच गए

कैस्पर्सकी को Google Play पर क्रिप्टो एक्सचेंज कार्यों के साथ एक Android मैसेजिंग ऐप मिला। SOEX नामक इस ऐप ने शोधकर्ता की रिपोर्ट मिलने के बाद Google द्वारा हटाए जाने से पहले 10,000 से अधिक इंस्टॉलेशन दर्ज किए थे।

टीम को Apple के ऐप स्टोर में 币coin नामक एक iOS क्रिप्टो ऐप भी मिला। कैस्पर्सकी ने Apple को सतर्क किया और 25 जून, 2025 को अपनी रिपोर्ट को अपडेट करते हुए कहा कि Apple ने ऐप को हटा दिया था। शोधकर्ताओं ने यह निर्धारित नहीं किया कि डेवलपर्स ने जानबूझकर मैलवेयर जोड़ा था या नहीं।

अन्य संस्करण नकली वेबसाइटों, संशोधित टिकटॉक ऐप्स, जुए के उत्पादों और सीधे स्थापित Android पैकेजों के माध्यम से फैले। कुछ iPhone अभियानों ने एंटरप्राइज़ प्रोविजनिंग टूल का दुरुपयोग किया, जो संगठनों को सार्वजनिक ऐप स्टोर के बाहर आंतरिक ऐप्स वितरित करने की अनुमति देते हैं।

नवीनतम रिपोर्टिंग यह स्थापित नहीं करती कि जुलाई 2026 में उल्लिखित एप्लिकेशन आधिकारिक स्टोर पर लौट आए। यह पुष्टि किए गए पीड़ितों की संख्या या कुल क्रिप्टो नुकसान भी प्रदान नहीं करती है। मूल लिस्टिंग हटा दी गई थी, जबकि साइडलोडेड प्रतियां अभी भी प्रसारित हो सकती हैं।

ऑफलाइन सीड स्टोरेज मुख्य सुरक्षा बनी हुई है

एक सीड वाक्यांश में आमतौर पर 12 या 24 शब्द होते हैं जो एक सेल्फ-कस्टडी वॉलेट से जुड़ी हर निजी कुंजी को पुनर्स्थापित कर सकते हैं। जो कोई भी उन शब्दों को प्राप्त करता है वह वॉलेट को फिर से बना सकता है और उसकी संपत्ति को स्थानांतरित कर सकता है। ऐप पासवर्ड बदलने से उजागर हुए रिकवरी वाक्यांश को सुरक्षित नहीं किया जा सकता है।

उपयोगकर्ताओं को सीड वाक्यांशों को स्क्रीनशॉट, क्लाउड एल्बम, ईमेल ड्राफ्ट या नोट्स ऐप्स में नहीं रखना चाहिए। crypto.news 2026 वॉलेट गाइड इस वाक्यांश को कागज पर लिखने या धातु पर रिकॉर्ड करने, फिर इसे सुरक्षित रूप से ऑफलाइन स्टोर करने की सलाह देता है।

उपयोगकर्ताओं को फोटो अनुमतियों की समीक्षा करनी चाहिए और उन ऐप्स से पहुंच हटा देनी चाहिए जिन्हें इसकी आवश्यकता नहीं है। उन्हें अनौपचारिक स्टोर, संशोधित ऐप्स और अज्ञात डाउनलोड लिंक से बचना चाहिए। एक आधिकारिक लिस्टिंग कुछ जोखिमों को कम करती है लेकिन डेवलपर और अनुरोधित अनुमतियों की जांच करने की आवश्यकता को समाप्त नहीं करती है।

जो कोई भी मानता है कि SparkKitty ने एक सीड वाक्यांश को उजागर किया है, उसे एक नए डिवाइस पर एक नया वॉलेट बनाना चाहिए और शेष संपत्तियों को तुरंत स्थानांतरित करना चाहिए। उपयोगकर्ता को तब संदिग्ध ऐप को हटा देना चाहिए, डिवाइस को अपडेट करना चाहिए और गैलरी छवियों में संग्रहीत क्रेडेंशियल को घुमाना चाहिए।

वर्तमान रिपोर्टों ने SparkKitty के बारे में चेतावनी को फिर से जारी किया है, लेकिन सार्वजनिक तकनीकी रिकॉर्ड इस अभियान को जुलाई 2026 की नई खोज के बजाय कैस्पर्सकी के 2025 के खुलासे से जोड़ता है।