Kampanye spyware seluler yang dikenal sebagai SparkKitty kembali menjadi perhatian setelah laporan memperingatkan bahwa aplikasi iOS dan Android yang terinfeksi dapat membocorkan frasa pemulihan dompet kripto yang tersimpan di galeri ponsel.
Malware tersebut mendapatkan akses foto, mengumpulkan gambar, dan mengirimkannya ke server yang dikendalikan penyerang.
Namun, ini bukan ancaman baru yang ditemukan pada Juli 2026. Kaspersky menerbitkan laporan teknis pada 23 Juni 2025, setelah menemukan SparkKitty di App Store Apple, Google Play, dan saluran tidak resmi. Artikel Cyberint baru-baru ini telah memperbarui perhatian terhadap keluarga malware yang sama.
Kaspersky menghubungkan SparkKitty dengan SparkCat, pencuri data seluler sebelumnya yang menggunakan pengenalan karakter optik untuk mencari tangkapan layar berisi frasa benih dompet. SparkKitty menggunakan metode penyebaran yang serupa, tetapi banyak sampel mengunggah gambar galeri alih-alih hanya memilih file yang berisi kata-kata pemulihan.
Para peneliti juga menemukan klaster terkait yang menggunakan OCR untuk memilih gambar tertentu. Oleh karena itu, malware tersebut dapat membocorkan kata sandi, dokumen identitas, dan kode QR. Kaspersky menyatakan mereka “percaya” bahwa tujuan utamanya melibatkan aset kripto, meskipun beberapa sampel tidak memiliki bukti langsung.
Kampanye ini telah beroperasi setidaknya sejak Februari 2024 dan sebagian besar menargetkan Asia Tenggara dan Tiongkok. Seperti yang dilaporkan crypto.news pada Juni 2025, kampanye ini menyebar melalui alat kripto palsu, aplikasi sosial yang dimodifikasi, produk perjudian, dan aplikasi lainnya.
Pada April 2026, Kaspersky melaporkan varian SparkCat baru di dua aplikasi App Store dan satu aplikasi Google Play. Temuan tersebut menunjukkan penggunaan berkelanjutan pencurian galeri berbasis OCR, tetapi tidak mengkonfirmasi bahwa SparkKitty sendiri telah kembali.
Pada iOS, para peneliti menemukan kode berbahaya di dalam kerangka kerja yang dimodifikasi yang meniru pustaka pengembangan umum, termasuk AFNetworking dan Alamofire. Versi lain menyembunyikan payload dalam file yang di-obfuscate bernama libswiftDarwin.dylib atau menempatkannya langsung di dalam aplikasi.
Setelah diluncurkan, malware menghubungi infrastruktur jarak jauh dan meminta akses ke galeri foto. Setelah pengguna menyetujui permintaan tersebut, ia memantau foto dan mengunggah file yang belum pernah dikirim sebelumnya. Ia juga dapat mengumpulkan gambar yang baru ditambahkan.
Pada Android, SparkKitty muncul dalam versi Java dan Kotlin. Beberapa sampel beroperasi sebagai modul Xposed pada perangkat yang di-root. Mereka menghubungi server perintah dan mentransfer gambar dengan informasi tentang perangkat dan aplikasi yang terinfeksi.
Pendekatan ini berbeda dari malware yang merekam penekanan tombol atau mengganti alamat dompet yang disalin. Seperti yang dilaporkan crypto.news pada Juni 2026, Microsoft melacak malware clipper terpisah yang memantau clipboard, mencuri kredensial dompet, dan mendukung perintah backdoor.
Kaspersky menemukan aplikasi perpesanan Android dengan fungsi pertukaran kripto di Google Play. Aplikasi tersebut, bernama SOEX, mencatat lebih dari 10.000 instalasi sebelum Google menghapusnya setelah menerima laporan peneliti.
Tim juga menemukan aplikasi kripto iOS bernama 币coin di App Store Apple. Kaspersky memperingatkan Apple dan memperbarui laporannya pada 25 Juni 2025, menyatakan bahwa Apple telah menghapus aplikasi tersebut. Para peneliti tidak menentukan apakah pengembang dengan sengaja menambahkan malware tersebut.
Versi lain menyebar melalui situs web palsu, aplikasi TikTok yang dimodifikasi, produk perjudian, dan paket Android yang diinstal langsung. Beberapa kampanye iPhone menyalahgunakan alat penyediaan perusahaan, yang memungkinkan organisasi mendistribusikan aplikasi internal di luar App Store publik.
Laporan terbaru tidak menetapkan bahwa aplikasi yang disebutkan kembali ke toko resmi pada Juli 2026. Laporan ini juga tidak memberikan jumlah korban yang dikonfirmasi atau total kerugian kripto. Daftar asli telah dihapus, sementara salinan yang diinstal secara manual mungkin masih beredar.
Frasa benih biasanya berisi 12 atau 24 kata yang dapat memulihkan setiap kunci privat yang terhubung ke dompet kustodi mandiri. Siapa pun yang mendapatkan kata-kata tersebut dapat membuat ulang dompet dan mentransfer asetnya. Mengubah kata sandi aplikasi tidak dapat mengamankan frasa pemulihan yang terekspos.
Pengguna tidak boleh menyimpan frasa benih di tangkapan layar, album cloud, draf email, atau aplikasi catatan. Panduan dompet crypto.news 2026 merekomendasikan untuk menulis frasa tersebut di kertas atau merekamnya di logam, lalu menyimpannya secara offline dengan aman.
Pengguna harus meninjau izin foto dan menghapus akses dari aplikasi yang tidak memerlukannya. Mereka harus menghindari toko tidak resmi, aplikasi yang dimodifikasi, dan tautan unduhan yang tidak dikenal. Listingan resmi memang mengurangi beberapa risiko tetapi tidak menghilangkan kebutuhan untuk memeriksa pengembang dan izin yang diminta.
Siapa pun yang meyakini SparkKitty membocorkan frasa benih harus membuat dompet baru di perangkat bersih dan segera memindahkan aset yang tersisa. Pengguna kemudian harus menghapus aplikasi yang dicurigai, memperbarui perangkat, dan merotasi kredensial yang tersimpan di gambar galeri.
Laporan saat ini telah memperbarui peringatan seputar SparkKitty, tetapi catatan teknis publik menelusuri kampanye tersebut ke pengungkapan Kaspersky pada tahun 2025, bukan penemuan baru pada Juli 2026.
