Вредоносное ПО SparkCat: угроза для мобильного криптокошелька

Замаскированные приложения нацелены на криптовалютные кошельки

Угроза, известная как вредоносное ПО SparkCat, была обнаружена в магазинах приложений Apple и Google. Эта кампания использует мошеннические приложения для сбора конфиденциальной информации у пользователей, в частности, нацеливаясь на мнемонические фразы, связанные с криптовалютными кошельками. Внедряя вредоносные компоненты в, казалось бы, легитимные приложения, операторы SparkCat создали эффективные средства кражи критически важной информации для восстановления у ничего не подозревающих жертв.

Кампания использует усовершенствованную систему оптического распознавания символов (OCR) для сканирования и извлечения текста из изображений, хранящихся на зараженных устройствах. Этот процесс позволяет вредоносному ПО идентифицировать и захватывать фразы восстановления, которые затем передаются на удаленный сервер, контролируемый злоумышленниками. Последствия этого метода особенно тревожны, поскольку он позволяет злоумышленникам обходить традиционные меры безопасности и получать несанкционированный доступ к цифровым активам.

Как работает вредоносное ПО SparkCat

В основе кампании SparkCat лежит встроенный комплект разработки программного обеспечения (SDK), включающий компонент Java под названием Spark, который ложно выдает себя за аналитический модуль. Исследователи все еще изучают, был ли этот SDK внедрен путем компрометации цепочки поставок или разработчики намеренно включили его в свои приложения.

SparkCat был обнаружен в приложениях, маскирующихся под инструменты искусственного интеллекта (ИИ), службы доставки еды и приложения, связанные с Web3. Хотя некоторые из этих приложений предоставляют ограниченную легитимную функциональность, они в конечном итоге служат сосудом для истинной цели вредоносного ПО — сбора фраз восстановления из сохраненных изображений. После активации вредоносного модуля вредоносное ПО расшифровывает и развертывает плагин OCR, созданный с использованием библиотеки ML Kit от Google, для сканирования галерей изображений на предмет определенных ключевых слов, связанных с криптовалютными кошельками.

Выход за рамки Android на iOS

Хотя угрозы, использующие технологию OCR, ранее были обнаружены на Android, SparkCat знаменует собой один из первых случаев появления такой тактики в App Store от Apple. Вариант вредоносной программы для iOS следует аналогичной методологии, используя библиотеку ML Kit от Google для извлечения данных из изображений. Кроме того, вредоносная программа использует методы связи на основе Rust для своих функций управления и контроля (C2), что является необычным подходом для мобильных угроз.

Отчеты показывают, что SparkCat активно внедряется с марта 2024 года, а затронутые приложения распространяются как через официальные, так и через сторонние магазины приложений. Некоторые приложения, содержащие этот вредоносный код, собрали более 242 000 загрузок до их удаления, что указывает на то, что значительная пользовательская база могла быть раскрыта.

Последствия этой атаки

Основной риск, связанный с вредоносным ПО SparkCat, заключается в его способности красть фразы восстановления криптовалютного кошелька. Эти фразы являются важнейшей мерой безопасности, позволяя пользователям восстанавливать доступ к своим цифровым активам в случае потери или взлома устройства. Если эти фразы попадут в чужие руки, злоумышленники смогут перевести средства с пострадавших кошельков, оставив жертвам практически без возможности восстановления.

Помимо финансовых потерь, деятельность SparkCat также подчеркивает более широкие опасения относительно безопасности приложений. Тот факт, что эта вредоносная программа смогла проникнуть как в App Store от Apple, так и в Google Play, подчеркивает потенциальные пробелы в процессах проверки опубликованных приложений. Пользователи, которые полагаются на официальные магазины приложений для гарантий безопасности, не всегда могут быть защищены от сложных угроз, таких как SparkCat.

Кто стоит за SparkCat?

Анализ функциональности вредоносного ПО, выбора ключевых слов и регионов распространения показывает, что кампания в первую очередь нацелена на пользователей в Европе и Азии. Кроме того, исследователи указали, что лица, ответственные за SparkCat, свободно владеют китайским языком, что указывает на потенциальный регион происхождения злоумышленников. Однако окончательная атрибуция остается постоянной задачей.

Одной из определяющих характеристик SparkCat является его способность действовать скрытно. Разрешения, запрашиваемые зараженными приложениями, кажутся безвредными и часто соответствуют их предполагаемым функциям. Этот обманчивый подход затрудняет для пользователей распознавание наличия скрытой угрозы в загружаемом ими программном обеспечении.

Уроки SparkCat и возникающие угрозы

Появление SparkCat усиливает важность бдительности при установке приложений, даже из официальных источников. Эксперты по кибербезопасности рекомендуют тщательно проверять разрешения приложений, изучать отзывы пользователей и проверять легитимность разработчиков перед загрузкой любого нового программного обеспечения. Поскольку киберпреступники продолжают совершенствовать свои тактики, пользователи должны оставаться осторожными и активными в защите своей конфиденциальной информации.

Последние тенденции также указывают на рост числа угроз, нацеленных на системы macOS и мобильные устройства. Растущая популярность криптовалюты и цифровых активов сделала их привлекательной целью для киберпреступников, что еще больше подчеркивает необходимость в усилении мер безопасности. SparkCat — это суровое напоминание о том, что даже хорошо зарекомендовавшие себя цифровые платформы не застрахованы от новых угроз.

Ответные меры отрасли и защитные меры

После обнаружения SparkCat и Apple, и Google предприняли действия по удалению вредоносных приложений из своих магазинов. С начала февраля 2025 года эти приложения больше не доступны для загрузки. Google также подтвердила, что пользователи Android автоматически защищены от известных версий этого вредоносного ПО с помощью функции Play Protect.

Хотя эти действия смягчают некоторые из непосредственных рисков, пользователи, которые ранее установили какие-либо из затронутых приложений, должны предпринять упреждающие шаги для защиты своих устройств. Проверка на несанкционированный доступ к криптовалютным кошелькам, удаление подозрительных приложений и обновление настроек безопасности — все это рекомендуемые меры для минимизации потенциального вреда.

Итог

Кампания вредоносного ПО SparkCat является примером эволюционирующей сложности киберугроз, нацеленных на пользователей криптовалюты. Используя уязвимости магазина приложений и применяя передовые методы OCR, злоумышленники продемонстрировали новый уровень изобретательности в цифровой краже. Двигаясь вперед, быть в курсе новых угроз и принимать строгие меры кибербезопасности будут иметь важное значение для поддержания цифровой безопасности.