Malware SparkCat: Uma ameaça à carteira criptográfica móvel

Aplicativos disfarçados têm como alvo carteiras de criptomoedas

Uma ameaça conhecida como SparkCat Malware foi encontrada infiltrando-se nas lojas de aplicativos da Apple e do Google. Esta campanha emprega aplicativos fraudulentos para coletar informações confidenciais de usuários, mirando especificamente frases mnemônicas associadas a carteiras de criptomoedas. Ao incorporar componentes maliciosos em aplicativos aparentemente legítimos, os operadores por trás do SparkCat criaram um meio eficaz de roubar informações críticas de recuperação de vítimas desavisadas.

A campanha depende de um sistema avançado de Reconhecimento Óptico de Caracteres (OCR) para escanear e extrair texto de imagens armazenadas em dispositivos infectados. Esse processo permite que o malware identifique e capture frases de recuperação, que são então transmitidas para um servidor remoto controlado pelos invasores. As implicações desse método são particularmente preocupantes, pois ele permite que os agentes de ameaças ignorem as medidas de segurança tradicionais e obtenham acesso não autorizado a ativos digitais.

Como o malware SparkCat opera

No centro da campanha SparkCat está um kit de desenvolvimento de software (SDK) embarcado que inclui um componente Java chamado Spark, que se apresenta falsamente como um módulo de análise. Os pesquisadores ainda estão investigando se esse SDK foi introduzido por meio de um comprometimento da cadeia de suprimentos ou se os desenvolvedores o incluíram deliberadamente em seus aplicativos.

O SparkCat foi encontrado em aplicativos disfarçados de ferramentas de inteligência artificial (IA), serviços de entrega de alimentos e aplicativos relacionados à Web3. Embora alguns desses aplicativos forneçam funcionalidade legítima limitada, eles servem, em última análise, como um veículo para o verdadeiro objetivo do malware — coletar frases de recuperação de imagens armazenadas. Depois que o módulo malicioso é ativado, o malware descriptografa e implanta um plug-in OCR criado usando a biblioteca ML Kit do Google para escanear galerias de imagens em busca de palavras-chave específicas vinculadas a carteiras de criptomoedas.

Expandindo além do Android para iOS

Embora ameaças que alavancam a tecnologia OCR tenham sido detectadas anteriormente no Android, o SparkCat marca uma das primeiras instâncias de tal tática aparecendo na App Store da Apple. A variante iOS do malware segue uma metodologia semelhante, usando a biblioteca ML Kit do Google para extrair dados de imagens. Além disso, o malware incorpora técnicas de comunicação baseadas em Rust para suas funções de comando e controle (C2), uma abordagem incomum para ameaças baseadas em dispositivos móveis.

Relatórios sugerem que o SparkCat foi implantado ativamente desde março de 2024, com os aplicativos afetados distribuídos por lojas de aplicativos oficiais e de terceiros. Alguns aplicativos que abrigam esse código malicioso acumularam mais de 242.000 downloads antes de sua remoção, indicando que uma base de usuários significativa pode ter sido exposta.

As implicações deste ataque

O principal risco associado ao malware SparkCat está na sua capacidade de roubar frases de recuperação de carteira de criptomoeda. Essas frases são uma medida de segurança crítica, permitindo que os usuários restaurem o acesso aos seus ativos digitais em caso de perda ou comprometimento do dispositivo. Se essas frases caírem nas mãos erradas, os agentes da ameaça podem transferir fundos das carteiras afetadas, deixando as vítimas com pouco ou nenhum recurso para recuperação.

Além das perdas financeiras, a operação da SparkCat também destaca preocupações mais amplas em relação à segurança de aplicativos. O fato de que esse malware conseguiu se infiltrar na App Store da Apple e no Google Play ressalta potenciais lacunas nos processos de verificação de aplicativos publicados. Usuários que dependem de lojas de aplicativos oficiais para garantias de segurança podem nem sempre estar protegidos contra ameaças sofisticadas como a SparkCat.

Quem está por trás do SparkCat?

A análise da funcionalidade do malware, seleção de palavras-chave e regiões de distribuição sugere que a campanha tem como alvo principal usuários na Europa e na Ásia. Além disso, pesquisadores indicaram que os indivíduos responsáveis pelo SparkCat exibem fluência em chinês, apontando para uma região potencial de origem dos invasores. No entanto, a atribuição definitiva continua sendo um esforço contínuo.

Uma das características definidoras do SparkCat é sua capacidade de operar discretamente. As permissões solicitadas pelos aplicativos infectados parecem inofensivas e frequentemente se alinham com suas supostas funcionalidades. Essa abordagem enganosa torna difícil para os usuários reconhecerem a presença de uma ameaça oculta dentro do software que eles baixam.

Lições do SparkCat e ameaças emergentes

O surgimento do SparkCat reforça a importância da vigilância ao instalar aplicativos, mesmo de fontes oficiais. Especialistas em segurança cibernética recomendam revisar cuidadosamente as permissões do aplicativo, examinar as avaliações dos usuários e verificar a legitimidade dos desenvolvedores antes de baixar qualquer software novo. À medida que os criminosos cibernéticos continuam a refinar suas táticas, os usuários devem permanecer cautelosos e proativos na proteção de suas informações confidenciais.

As tendências recentes também indicam um número crescente de ameaças direcionadas a sistemas macOS e dispositivos móveis. A crescente popularidade de criptomoedas e ativos digitais os tornou um alvo atraente para cibercriminosos, enfatizando ainda mais a necessidade de práticas de segurança aprimoradas. SparkCat é um lembrete claro de que mesmo plataformas digitais bem estabelecidas não são imunes a ameaças emergentes.

Resposta da indústria e medidas de proteção

Após a descoberta do SparkCat, tanto a Apple quanto o Google tomaram medidas para remover os aplicativos ofensivos de suas respectivas lojas. No início de fevereiro de 2025, esses aplicativos não estão mais disponíveis para download. O Google também confirmou que os usuários do Android são protegidos automaticamente contra versões conhecidas desse malware por meio do recurso Play Protect.

Embora essas ações mitiguem alguns dos riscos imediatos, os usuários que instalaram anteriormente qualquer um dos aplicativos afetados devem tomar medidas proativas para proteger seus dispositivos. Verificar se há acesso não autorizado a carteiras de criptomoedas, remover aplicativos suspeitos e atualizar as configurações de segurança são medidas recomendadas para minimizar danos potenciais.

Conclusão

A campanha de malware SparkCat exemplifica a sofisticação em evolução das ameaças cibernéticas que visam usuários de criptomoedas. Ao explorar vulnerabilidades da loja de aplicativos e alavancar técnicas avançadas de OCR, os invasores demonstraram um novo nível de engenhosidade em roubo digital. Seguindo em frente, manter-se informado sobre ameaças emergentes e adotar práticas rígidas de segurança cibernética será essencial para manter a segurança digital.