Le malware SparkKitty intégré à l’App Store et à Google Play vole des phrases de récupération de portefeuilles crypto en les analysant à partir de photos

Selon l’entreprise de cybersécurité Check Point, le 27 juillet, le malware SparkKitty a été découvert intégré à des applications iOS et Android distribuées via l’App Store d’Apple, Google Play et des boutiques Android tierces. Cette famille de malwares multiplateformes utilise la reconnaissance optique de caractères (OCR) pour analyser les photos de la galerie des utilisateurs et extraire des phrases de seed de portefeuilles de cryptomonnaies, des mots de passe et des codes QR, avant de téléverser les données volées avec des informations sur l’appareil vers des serveurs distants.

Les attaquants ont déguisé SparkKitty en services crypto, outils de messagerie et applications de divertissement, en demandant l’accès à la galerie avant de scanner en continu les photos existantes et nouvellement ajoutées. Les échantillons identifiés incluent l’application « CoinCoin » sur iOS et l’application « SOEX » sur Android, qui a dépassé 10 000 téléchargements avant d’être retirée. Des variantes supplémentaires se sont propagées via des boutiques tierces, des versions modifiées de TikTok et des applications de jeux d’argent, certaines conservant la persistance sur des appareils rootés via des modules Xposed. Check Point recommande aux utilisateurs de stocker les phrases de seed hors ligne, d’éviter de prendre des captures d’écran ou des photos des phrases de seed, et de vérifier régulièrement les autorisations de caméra et de galerie accordées aux applications.