Kaspersky Labs ha identificado una sofisticada campaña de malware que apunta a usuarios de criptomonedas a través de kits de desarrollo de software maliciosos integrados en aplicaciones móviles disponibles en Google Play y el App Store de Apple. Nombrado "SparkCat", este malware utiliza el reconocimiento óptico de caracteres para escanear las fotos de los usuarios en busca de frases de recuperación de monederos de criptomonedas, que los hackers luego usan para acceder y vaciar los monederos afectados.
En un informe exhaustivo con fecha del 4 de febrero de 2025, los investigadores de Kaspersky Sergey Puzan y Dmitry Kalinin detallan cómo el malware SparkCat infiltra dispositivos y busca imágenes para frases de recuperación mediante la detección de palabras clave multilingües. Una vez que se obtienen estas frases, los atacantes logran acceso ilimitado a las carteras de criptomonedas de las víctimas. Así, los hackers logran el control total sobre los fondos, como subrayan los investigadores.
Además, el malware está diseñado para robar información sensible adicional, como contraseñas y mensajes privados capturados en capturas de pantalla. Específicamente en dispositivos Android, SparkCat se disfraza de un módulo de análisis basado en Java llamado Spark. El malware recibe actualizaciones operativas a partir de un archivo de configuración cifrado en GitLab y utiliza el OCR de ML Kit de Google para extraer texto de imágenes en dispositivos infectados. La detección de una frase de recuperación resulta en que el malware envíe la información de regreso a los atacantes, permitiéndoles importar la cartera de criptomonedas de la víctima a sus dispositivos.
Kaspersky estima que desde su aparición en marzo de 2023, SparkCat ha sido descargado alrededor de 242,000 veces, impactando principalmente a usuarios en Europa y Asia.
En un informe separado pero relacionado de mediados de 2024, Kaspersky ha estado monitoreando otra campaña de malware para Android que involucra APKs engañosos como Tria Stealer, que intercepta mensajes SMS y registros de llamadas, y roba datos de Gmail.
La presencia de este malware abarca numerosas aplicaciones, algunas aparentemente legítimas como servicios de entrega de alimentos, y otras diseñadas para atraer a usuarios incautos, como aplicaciones de mensajería habilitadas con IA. Las características comunes entre estas aplicaciones infectadas incluyen el uso del lenguaje de programación Rust, capacidades multiplataforma y métodos sofisticados de ofuscación para evadir la detección.
Los orígenes de SparkCat siguen sin estar claros. Los investigadores no han atribuido el malware a ningún grupo de hackers conocido pero han notado comentarios y mensajes de error en chino dentro del código, sugiriendo fluidez en chino por parte del desarrollador. Aunque comparte similitudes con una campaña descubierta por ESET en marzo de 2023, su fuente precisa sigue sin identificarse.
Kaspersky aconseja encarecidamente a los usuarios evitar almacenar información sensible como frases de recuperación de monederos de criptomonedas en sus galerías de fotos. En su lugar, recomiendan emplear gestores de contraseñas y escanear regularmente para eliminar aplicaciones sospechosas.
Los hallazgos fueron reportados originalmente en 99Bitcoins en el artículo titulado "Malicious SDKs on Google Play and App Store Steal Crypto Seed Phrases: Kaspersky."