Sophisticated trojan bypasses Apple and Google security to harvest cryptocurrency seed phrases from mobile device photos, marking significant escalation in mobile crypto-targeting attacks.
Kasperskyのサイバーセキュリティ研究者は、「SparkKitty」と名付けられた新しい高度なモバイルマルウェアキャンペーンを発見しました。これはAppleのApp StoreとGoogle Play Storeの両方に侵入し、中国と東南アジアで5,000人以上の暗号通貨ユーザーを影響下に置いています。
このマルウェアはモバイルギャラリーに保存されているウォレットシードフレーズのスクリーンショットを盗むことに重点を置いており、基本的なモバイルセキュリティの脆弱性を悪用する暗号通貨ターゲティング攻撃の進化を示しています。
このマルウェアは2024年初頭以来少なくとも活動しており、Kasperskyの今週発表された最新のセキュリティレポートによれば、従来のマルウェア配布方法とは異なり、主要なモバイルプラットフォームの両方で、正規アプリのように見えるアプリに組み込まれることでRemarkableな成功を収めています。
最も憂慮すべき点は、このキャンペーンがAppleの厳格なApp Store審査プロセスとGoogleのPlay Protectセキュリティシステムを突破したことで、10,000以上のダウンロードに達したSOEXというメッセンジャーアプリが問題の発覚と削除が行われるまで感染を拡大していました。
高度なデータ収集方法
SparkKittyはその前任者であるSparkCatに対して大幅な技術的進歩を示しています。これは2025年1月に初めて特定されました。従来のマルウェアが選択的に機密データをターゲットにするのとは異なり、SparkKittyは感染したデバイスからすべての画像を無差別に盗み出し、その後分析のためにリモートサーバーにアップロードされる包括的なデータベースを作成します。
このマルウェアは複雑なマルチステージプロセスを通じて動作します。欺瞞的なプロビジョニングプロファイルを介してインストールされると、SparkKittyは通常のフォトギャラリーアクセス許可を要求し、ほとんどのユーザーには通常の要求に見えます。アクセスが許可されると、トロイの木馬はデバイスのフォトライブラリの変化を監視し、ローカルデータベースを作成し、捕捉された画像を攻撃者が管理するサーバーに送信します。
Kasperskyの研究者は、攻撃者の主な目的が感染したデバイスに保存されているスクリーンショットから暗号通貨ウォレットのシードフレーズを特定し抽出することであると強調しています。これらの12〜24の単語のリカバリフレーズはユーザーのデジタル資産全体へのアクセスを提供するため、サイバー犯罪者にとって非常に貴重なターゲットです。
SparkKittyの出現は、暗号通貨に焦点を当てたサイバー犯罪がエスカレートする背景で発生しています。TRM Labsの2024年の分析によれば、盗まれた22億ドルの暗号通貨のうち70％近くがインフラストラクチャ攻撃から生じており、特に秘密鍵やシードフレーズの盗難が含まれていました。
マルウェアの現在の地理的焦点は中国と東南アジアですが、サイバーセキュリティ専門家はSparkKittyの技術機能と実績の効果が世界的な拡大の可能性が高いと警告しています。公式アプリストアに浸透するこのマルウェアの能力は、洗練された暗号通貨ターゲティング攻撃に対してどのモバイルエコシステムも安全でないことを示唆しています。
技術進化と帰属
法医学的分析により、SparkKittyと以前のSparkCatマルウェアキャンペーンの間には重大な関連があることがわかります。両方のトロイの木馬は、デバッグシンボル、コード構築パターン、およびいくつかの侵害されたベクトルアプリケーションを共有しており、同じ脅威アクターによる調整された開発であることを示唆しています。
SparkCatは特に画像からこれらのフレーズを抽出するために光学式文字認識技術を使用して暗号通貨ウォレットのリカバリフレーズをターゲットにしましたが、SparkKittyはすべての利用可能な画像データを収集してその後処理することでより広範なアプローチを採用しています。
SparkKittyキャンペーンは、モバイル暗号通貨セキュリティの基本的な脆弱性を露出しています。多くのユーザーが便宜上シードフレーズのスクリーンショットをルーチンに取っており、デジタルコピーを作成することがきっかけであり、SparkKittyのようなマルウェアの主なターゲットとなっています。