卡巴斯基对恶意软件窃取移动设备上的加密种子短语发出警报

卡巴斯基安全研究人员发现了一个通过受感染的应用程序针对加密货币用户的移动恶意软件活动。

据报道，SparkKitty 间谍软件通过官方应用商店，使用光学字符识别技术在 iOS 和 Android 平台上窃取包含种子短语的设备屏幕截图。

SparkKitty 恶意软件入侵官方应用商店，瞄准加密货币

卡巴斯基研究人员发现2025年1月，SparkKitty间谍软件活动被曝光，此前他们曾发现SparkCat恶意软件针对加密货币钱包。新的威胁通过非官方渠道以及官方的Google Play和App Store平台分发恶意应用程序，受感染的应用程序已在研究人员通知后从Google Play下架。

SparkKitty 攻击 iOS 和 Android 平台，并针对每个平台提供多种传播机制。在 iOS 平台上，恶意软件的有效载荷通过伪装成 AFNetworking.framework 或 Alamofire.framework 等合法库的框架，或伪装成 libswiftDarwin.dylib 等混淆库的框架进行传播。malware还可以直接插入到应用程序中。

Android 操作系统同时使用 Java 和 Kotlin 语言，其中 Kotlin 版本被用作恶意 Xposed 模块。大多数恶意软件版本会不加区分地劫持设备上的所有图像，但研究人员也检测到类似的恶意集群，它们利用光学字符识别技术来攻击包含敏感信息的特定图片。

该活动至少自 2024 年 2 月起就开始活跃，并且还与之前的 SparkCat 行动共享目标策略和基础设施。

SparkKitty 的攻击范围比 SparkCat 针对加密货币种子短语的定向攻击更广，因为它会抓取受感染设备中所有可用的图像。这有可能窃取存储在设备库中的其他类型的敏感财务和个人信息。

来自不知名商店的 TikTok 插件是主要感染媒介

卡巴斯基分析师最初是在追踪定期传播TikTok安卓应用修改版的可疑链接时发现该活动的。修改后的应用会在用户启动主应用活动时执行额外的恶意软件代码。

配置文件 URL 在受感染的应用程序中显示为按钮，启动 WebView 会话以显示 TikToki Mall，这是一个接受加密货币购买消费品的互联网购物门户。

由于注册和购买需要邀请码，研究人员无法确定该商店的合法性或是否仍在运营。iOS 感染媒介利用 Apple Developer Program 的企业配置文件来规避正常的应用安装限制。

攻击者劫持企业证书，用于企业级组织应用分发，使恶意应用无需 App Store 批准即可安装在任何设备上。企业配置文件滥用是不良应用（例如在线赌场、软件破解和非法修改）开发者普遍使用的一种策略。

受感染的 TikTok iOS 应用程序版本在启动时会请求照片库权限，而 TikTok 正版版本则不具备该权限。该恶意软件集成到伪装成 AFNetworking.framework 的框架中，并篡改了 AFImageDownloader 类和其他 AFImageDownloaderTool 组件。

Android 恶意软件变种通过加密货币主题应用程序窃取图像

SparkKitty 的 Android 版本通过加密货币主题应用程序运行，恶意代码嵌入在入口点中。恶意软件请求包含命令和控制服务器地址的配置文件，并在与远程服务器建立通信之前，使用 ECB 模式下的 AES-256 加密对其进行解密。

图像窃取通过两阶段过程进行，包括设备指纹识别和选择性上传机制。恶意软件会结合设备 IMEI、MAC 地址和随机 UUID 创建 MD5 哈希值，并将这些标识符存储在外部存储的文件中。

赌场应用程序利用 LSPosed 框架集成，充当恶意 Xposed 模块，用于挂载应用程序入口点。一款受感染的带有加密货币交易功能的即时通讯应用程序在 Google Play 上的安装量已超过 10,000 次，之后才根据卡巴斯基的通知被移除。

渐进式 Web 应用程序通过诈骗平台进行传播，这些平台在热门社交媒体平台上宣传庞氏骗局。这些包含 PWA 的页面会提示用户下载 APK 文件，这些文件会注册内容下载处理程序，并通过 Google ML Kit 光学字符识别技术处理 JPEG 和 PNG 图像，以识别包含文本的屏幕截图。

Cryptopolitan 学院：厌倦了市场波动？了解 DeFi 如何助你建立稳定的被动收入。立即注册