„SparkCat“ kenkėjiška programa: mobiliosios kriptografinės piniginės grėsmė

Užmaskuotos programos skirtos kriptovaliutų piniginėms

Buvo rasta grėsmė, žinoma kaip „SparkCat“ kenkėjiška programa, prasiskverbianti ir į „Apple“, ir „Google“ programų parduotuves. Šioje kampanijoje naudojamos apgaulingos programos, skirtos neskelbtinai informacijai iš vartotojų rinkti, konkrečiai taikant mnemonines frazes, susijusias su kriptovaliutų piniginėmis. Įterpdami kenkėjiškus komponentus į iš pažiūros teisėtas programas, SparkCat operatoriai sukūrė veiksmingą priemonę pavogti svarbią atkūrimo informaciją iš nieko neįtariančių aukų.

Kampanija remiasi pažangia optinio simbolių atpažinimo (OCR) sistema, leidžiančia nuskaityti ir išgauti tekstą iš užkrėstuose įrenginiuose saugomų vaizdų. Šis procesas leidžia kenkėjiškajai programai identifikuoti ir užfiksuoti atkūrimo frazes, kurios vėliau perduodamos nuotoliniam serveriui, kurį kontroliuoja užpuolikai. Šio metodo pasekmės yra ypač susirūpinusios, nes jis leidžia grėsmės subjektams apeiti tradicines saugumo priemones ir gauti neteisėtą prieigą prie skaitmeninio turto.

Kaip veikia „SparkCat“ kenkėjiška programa

„SparkCat“ kampanijos esmė yra įterptosios programinės įrangos kūrimo rinkinys (SDK), kuriame yra „Java“ komponentas „Spark“, kuris klaidingai pristatomas kaip analizės modulis. Mokslininkai vis dar tiria, ar šis SDK buvo pristatytas dėl tiekimo grandinės kompromiso, ar kūrėjai sąmoningai įtraukė jį į savo programas.

„SparkCat“ buvo aptikta programose, kurios apsimeta dirbtinio intelekto (AI) įrankiais, maisto pristatymo paslaugomis ir su Web3 susijusiomis programėlėmis. Nors kai kurios iš šių programų suteikia ribotą teisėtą funkcionalumą, galiausiai jos tarnauja kaip tikrasis kenkėjiškos programos tikslas – atkūrimo frazių surinkimas iš saugomų vaizdų. Suaktyvinus kenkėjišką modulį, kenkėjiška programa iššifruoja ir diegia OCR papildinį, sukurtą naudojant Google ML Kit biblioteką, kad nuskaitytų vaizdų galerijas ir ieškotų konkrečių raktinių žodžių, susietų su kriptovaliutų piniginėmis.

Išplėtimas ne tik Android, bet ir iOS

Nors „Android“ sistemoje anksčiau buvo aptiktos OCR technologijos panaudojimo grėsmės, „SparkCat“ yra vienas iš pirmųjų tokios taktikos pavyzdžių, pasirodančių „Apple App Store“. Kenkėjiškos programos iOS variantas taiko panašią metodiką, naudojant Google ML Kit biblioteką duomenims iš vaizdų išgauti. Be to, kenkėjiška programinė įranga apima rūdžių pagrindu veikiančias komunikacijos technologijas savo komandų ir valdymo (C2) funkcijoms, o tai yra neįprastas požiūris į mobiliojo ryšio grėsmes.

Ataskaitose teigiama, kad „SparkCat“ buvo aktyviai diegiama nuo 2024 m. kovo mėn., o paveiktos programos platinamos tiek per oficialias, tiek per trečiųjų šalių programų parduotuves. Kai kurios programos, kuriose yra šis kenkėjiškas kodas, prieš jas pašalinant buvo atsisiųsta daugiau nei 242 000 kartų, o tai rodo, kad galėjo būti atskleista didelė vartotojų bazė.

Šio puolimo pasekmės

Pagrindinė rizika, susijusi su „SparkCat“ kenkėjiška programa, yra jos gebėjimas pavogti kriptovaliutų piniginės atkūrimo frazes. Šios frazės yra svarbi saugumo priemonė, leidžianti vartotojams atkurti prieigą prie savo skaitmeninio turto pametus ar pažeistą įrenginį. Jei šios frazės patenka į netinkamas rankas, grėsmės veikėjai gali pervesti lėšas iš nukentėjusių piniginių, todėl aukos neturi galimybės susigrąžinti arba visai neturi.

Be finansinių nuostolių, „SparkCat“ veikla taip pat išryškina didesnį susirūpinimą dėl programų saugumo. Tai, kad ši kenkėjiška programa sugebėjo įsiskverbti į „Apple App Store“ ir „Google Play“, pabrėžia galimas paskelbtų programų tikrinimo procesų spragas. Naudotojai, kurie pasitiki oficialiomis programų parduotuvėmis dėl saugumo garantijų, ne visada gali būti apsaugoti nuo sudėtingų grėsmių, tokių kaip SparkCat.

Kas yra už SparkCat?

Kenkėjiškos programos funkcionalumo, raktinių žodžių pasirinkimo ir platinimo regionų analizė rodo, kad kampanija pirmiausia skirta vartotojams Europoje ir Azijoje. Be to, mokslininkai nurodė, kad už „SparkCat“ atsakingi asmenys laisvai kalba kinų kalba, nurodydami galimą užpuolikų kilmės regioną. Tačiau galutinis priskyrimas tebėra nuolatinis darbas.

Viena iš svarbiausių „SparkCat“ savybių yra jos gebėjimas veikti diskretiškai. Leidimai, kurių prašo užkrėstos programos, atrodo nekenksmingi ir dažnai atitinka jų numatytas funkcijas. Dėl šio apgaulingo požiūrio vartotojams sunku atpažinti paslėptą grėsmę atsisiunčiamoje programinėje įrangoje.

„SparkCat“ ir kylančių grėsmių pamokos

SparkCat atsiradimas sustiprina budrumo svarbą diegiant programas, net iš oficialių šaltinių. Kibernetinio saugumo ekspertai rekomenduoja nuodugniai peržiūrėti programų leidimus, atidžiai išnagrinėti vartotojų atsiliepimus ir patikrinti kūrėjų teisėtumą prieš atsisiunčiant bet kokią naują programinę įrangą. Kibernetiniams nusikaltėliams ir toliau tobulinant savo taktiką, vartotojai turi išlikti atsargūs ir aktyviai saugoti savo neskelbtiną informaciją.

Naujausios tendencijos taip pat rodo, kad daugėja grėsmių, nukreiptų į „MacOS“ sistemas ir mobiliuosius įrenginius. Didėjantis kriptovaliutų ir skaitmeninio turto populiarumas pavertė juos patraukliu kibernetinių nusikaltėlių taikiniu, o tai dar labiau pabrėžia sustiprintos saugumo praktikos poreikį. „SparkCat“ yra ryškus priminimas, kad net nusistovėjusios skaitmeninės platformos nėra apsaugotos nuo kylančių grėsmių.

Pramonės atsakas ir apsaugos priemonės

Po „SparkCat“ atradimo „Apple“ ir „Google“ ėmėsi veiksmų, kad pašalintų pažeidžiamas programas iš atitinkamų parduotuvių. Nuo 2025 m. vasario mėn. pradžios šių programų nebegalima atsisiųsti. „Google“ taip pat patvirtino, kad „Android“ naudotojai yra automatiškai apsaugoti nuo žinomų šios kenkėjiškos programos versijų naudojant „Play Protect“ funkciją.

Nors šie veiksmai sumažina kai kurias tiesiogines rizikas, naudotojai, anksčiau įdiegę bet kurią iš paveiktų programų, turėtų imtis aktyvių veiksmų, kad apsaugotų savo įrenginius. Patikrinti, ar nėra neteisėtos prieigos prie kriptovaliutų piniginių, pašalinti įtartinas programas ir atnaujinti saugos nustatymus – visa tai rekomenduojamos priemonės, siekiant sumažinti galimą žalą.

Apatinė eilutė

„SparkCat“ kenkėjiškų programų kampanija parodo besivystančių kibernetinių grėsmių, nukreiptų į kriptovaliutų vartotojus, sudėtingumą. Išnaudodami programų parduotuvės pažeidžiamumą ir pažangias OCR technologijas, užpuolikai pademonstravo naują skaitmeninės vagystės išradingumo lygį. Norint išlaikyti skaitmeninę saugą, būtina judėti į priekį, būti informuotam apie kylančias grėsmes ir laikytis griežtos kibernetinio saugumo praktikos.