Мобільна шпигунська кампанія, відома як SparkKitty, знову привернула увагу після повідомлень про те, що інфіковані застосунки iOS та Android можуть викривати відновлювальні фрази криптогаманців, збережені у телефонних галереях.
Шкідливе програмне забезпечення отримує доступ до фотографій, збирає зображення та надсилає їх на сервери, контрольовані зловмисниками.
Однак це не нововиявлена загроза липня 2026 року. Kaspersky опублікувала технічний звіт 23 червня 2025 року, виявивши SparkKitty в Apple App Store, Google Play та неофіційних каналах. Недавня стаття Cyberint знову привернула увагу до того ж сімейства шкідливих програм.
Kaspersky пов'язала SparkKitty з SparkCat, більш раннім мобільним викрадачем, який використовував оптичне розпізнавання символів (OCR) для пошуку сідових фраз гаманців на знімках екрана. SparkKitty використовував схожі методи поширення, але багато зразків завантажували зображення галереї, а не вибирали лише файли, що містять слова для відновлення.
Дослідники також виявили пов'язаний кластер, який використовував OCR для вибору конкретних зображень. Таким чином, шкідливе програмне забезпечення може викривати паролі, документи, що посвідчують особу, та QR-коди. Kaspersky заявила, що "вважає", що основною метою були криптоактиви, зазначивши при цьому, що деякі зразки не мали прямих доказів.
Кампанія діяла щонайменше з лютого 2024 року і переважно націлювалась на Південно-Східну Азію та Китай. Як повідомляв crypto.news у червні 2025 року, вона поширювалася через фальшиві криптоінструменти, модифіковані соціальні застосунки, ігрові продукти та інші застосунки.
У квітні 2026 року Kaspersky повідомила про новий варіант SparkCat у двох застосунках App Store та одному застосунку Google Play. Це відкриття показало продовження використання крадіжки галереї на основі OCR, але не підтвердило, що сам SparkKitty повернувся.
На iOS дослідники виявили шкідливий код всередині модифікованих фреймворків, які імітували поширені бібліотеки розробки, включаючи AFNetworking та Alamofire. Інші версії приховували корисне навантаження в обфускованому файлі з назвою libswiftDarwin.dylib або розміщували його безпосередньо всередині застосунку.
Після запуску шкідливе ПЗ зв'язувалося з віддаленою інфраструктурою та запитувало доступ до фотогалереї. Після того, як користувач схвалював запит, воно відстежувало фотографії та завантажувало файли, які раніше не надсилалися. Воно також могло збирати щойно додані зображення.
На Android SparkKitty з'явився у версіях на Java та Kotlin. Деякі зразки функціонували як Xposed модулі на рутованих пристроях. Вони зв'язувалися з командними серверами та передавали зображення з інформацією про інфікований пристрій та застосунок.
Цей підхід відрізняється від шкідливого ПЗ, яке записує натискання клавіш або замінює скопійовані адреси гаманців. Як повідомляв crypto.news у червні 2026 року, Microsoft відстежувала окреме кліпер-шкідливе ПЗ, яке спостерігало за буфером обміну, викрадало облікові дані гаманця та підтримувало команди бекдору.
Kaspersky виявила Android-застосунок для обміну повідомленнями з функціями криптобіржі в Google Play. Застосунок під назвою SOEX набрав понад 10 000 встановлень, перш ніж Google видалив його після отримання звіту дослідників.
Команда також виявила iOS-криптозастосунок під назвою 币coin в Apple App Store. Kaspersky повідомила Apple і оновила свій звіт 25 червня 2025 року, заявивши, що Apple видалила застосунок. Дослідники не встановили, чи розробники свідомо додали шкідливе програмне забезпечення.
Інші версії поширювалися через фальшиві вебсайти, модифіковані застосунки TikTok, ігрові продукти та безпосередньо встановлені пакети Android. Деякі iPhone-кампанії зловживали інструментами корпоративного провізіонування, які дозволяють організаціям поширювати внутрішні застосунки поза публічним App Store.
Останні повідомлення не встановлюють, що названі застосунки повернулися до офіційних магазинів у липні 2026 року. Вони також не надають підтвердженої кількості жертв або загальних криптовтрат. Оригінальні списки були видалені, тоді як завантажені зі сторонніх джерел копії все ще можуть циркулювати.
Сідова фраза зазвичай містить 12 або 24 слова, які можуть відновити кожен приватний ключ, пов'язаний з гаманцем самостійного зберігання. Будь-хто, хто отримає ці слова, може відтворити гаманець і перевести його активи. Зміна пароля застосунку не може захистити скомпрометовану фразу відновлення.
Користувачі не повинні зберігати сідові фрази на знімках екрана, у хмарних альбомах, чернетках електронної пошти або застосунках для нотаток. Посібник із гаманців crypto.news 2026 рекомендує записати фразу на папері або вигравіювати її на металі, а потім надійно зберігати її в офлайні.
Користувачі повинні переглянути дозволи на доступ до фотографій і видалити доступ із застосунків, які його не потребують. Вони повинні уникати неофіційних магазинів, модифікованих застосунків та невідомих посилань для завантаження. Офіційний список зменшує деякі ризики, але не усуває необхідності перевіряти розробника та запитувані дозволи.
Будь-хто, хто вважає, що SparkKitty скомпрометував сідову фразу, повинен створити новий гаманець на чистому пристрої та негайно перевести активи, що залишилися. Потім користувач повинен видалити підозрілий застосунок, оновити пристрій та змінити облікові дані, збережені в зображеннях галереї.
Поточні повідомлення знову нагадали про небезпеку SparkKitty, але публічний технічний запис простежує кампанію до розкриття інформації Kaspersky у 2025 році, а не до нового відкриття липня 2026 року.
BTC
