Nuevo Spyware “SparkKitty” apunta a carteras de criptomonedas a través de App Store y Google Play

Investigadores de seguridad identificaron un nuevo spyware llamado SparkKitty, que roba fotos de smartphones para acceder a las carteras de criptomonedas

El spyware, reportado por primera vez por Kaspersky, parece estar conectado a una cepa de malware anterior conocida como SparkCat. Ha infectado varias aplicaciones tanto en la App Store como en Google Play, aunque algunas ya han sido eliminadas.

Las investigadoras explican que SparkKitty difundió aplicaciones falsas que imitan plataformas bien conocidas, incluyendo TikTok. Una vez instaladas, las aplicaciones maliciosas solicitan acceso a la galería de fotos del usuario.

Algunas versiones roban todas las imágenes, mientras que otras utilizan el reconocimiento óptico de caracteres (OCR) para buscar frases semilla de carteras de criptomonedas, que son códigos únicos que dan acceso a monedas digitales.

En los iPhones, el malware se oculta dentro de falsos marcos de software que imitan a los legítimos, como AFNetworking o Alamofire. En los dispositivos Android, el spyware se incrusta como módulos maliciosos dentro de las aplicaciones, particularmente aquellas relacionadas con mensajería o criptomonedas.

Kaspersky explica que la campaña comenzó su operación en febrero de 2024 y se ha extendido tanto a través de tiendas de aplicaciones no autorizadas, como de canales oficiales de distribución. La detección inicial del malware ocurrió a través de falsas aplicaciones de TikTok, que redirigían a los usuarios a una falsa tienda en línea llamada “TikToki Mall”, la cual aceptaba pagos con criptomonedas.

Los usuarios que accedieron al sitio desde sus iPhones se encontraron con falsas páginas de la App Store que los engañaban para que instalaran aplicaciones infectadas. Los hackers también abusaron del Programa de Desarrolladores Empresariales de Apple para distribuir su malware, eludiendo la seguridad habitual de la App Store.

Después de la infección, la aplicación verifica los códigos de activación, se pone en contacto con un servidor remoto para recibir instrucciones y sube las fotos robadas a servidores controlados por hackers.

Los investigadores informan que una aplicación de mensajería falsa habilitada para criptomonedas se descargó más de 10,000 veces antes de que los investigadores de seguridad descubrieran su naturaleza maliciosa.

La mayoría de las víctimas se encuentran en el sudeste asiático y China, con muchas aplicaciones infectadas que presentan contenido de apuestas o para adultos. Sin embargo, el spyware podría apuntar a usuarios de todo el mundo. SparkKitty comparte características técnicas con SparkCat, sugiriendo una conexión directa entre las dos campañas.

Para mantenerse protegidos, los usuarios deben evitar las tiendas de aplicaciones de terceros, revisar cuidadosamente los permisos de las aplicaciones y mantener sus dispositivos actualizados. Incluso las fotos no relacionadas con la criptomoneda pueden estar en riesgo debido a esta amenaza constante de spyware.