¿Guardas los detalles de tu billetera o frase semilla como foto en tu teléfono? Este troyano podría estar atacándote
Una nueva variante de spyware móvil, denominada SparkKitty, ha infiltrando la App Store de Apple y Google Play, haciéndose pasar por aplicaciones temáticas de criptomonedas y modificadas para extraer sigilosamente imágenes de frases semilla y credenciales de billeteras.
El malware parece ser un sucesor de SparkCat, una campaña descubierta a principios de 2025, que utilizaba módulos falsos de chat de soporte para acceder silenciosamente a las galerías de los usuarios y exfiltrar capturas de pantalla sensibles.
SparkKitty lleva la misma estrategia varios pasos más allá, según investigadores de Kaspersky en una publicación del lunes.
A diferencia de SparkCat, que se propaga principalmente a través de paquetes Android no oficiales, SparkKitty ha sido confirmado dentro de múltiples aplicaciones iOS y Android disponibles en tiendas oficiales, incluyendo una aplicación de mensajería con funciones de intercambio de criptomonedas (con más de 10,000 instalaciones en Google Play) y una aplicación iOS llamada "币coin", disfrazada como un rastreador de portafolios.
En el núcleo de la variante iOS se encuentra una versión armada del framework AFNetworking o Alamofire, donde los atacantes incrustaron una clase personalizada que se ejecuta automáticamente al iniciar la aplicación utilizando el selector +load de Objective-C.
Al iniciar, verifica un valor de configuración oculto, obtiene una dirección de comando y control (C2) y escanea la galería del usuario, comenzando a subir imágenes. Una dirección C2 instruye al malware sobre qué hacer, como cuándo robar datos o enviar archivos, y recibe la información robada.
La variante Android utiliza bibliotecas Java modificadas para lograr el mismo objetivo. Se aplica OCR a través de Google ML Kit para analizar imágenes. Si se detecta una frase semilla o una clave privada, el archivo se marca y se envía a los servidores del atacante.
La instalación en iOS se realiza a través de perfiles de aprovisionamiento empresarial, un método destinado a aplicaciones internas empresariales pero a menudo explotado para malware.
Las víctimas son engañadas para que confíen manualmente en un certificado de desarrollador vinculado a "SINOPEC SABIC Tianjin Petrochemical Co. Ltd.", otorgando a SparkKitty permisos a nivel de sistema.
Varias direcciones C2 utilizaban archivos de configuración cifrados con AES-256 alojados en servidores ofuscados.
Una vez descifrados, apuntan a captadores de carga útil y endpoints, como /api/putImages y /api/getImageStatus, donde la aplicación determina si subir o retrasar las transmisiones de fotos.
Los investigadores de Kaspersky descubrieron otras versiones del malware utilizando una biblioteca OpenSSL falsificada (libcrypto.dylib) con lógica de inicialización ofuscada, lo que indica un conjunto de herramientas en evolución y múltiples vectores de distribución.
Aunque la mayoría de las aplicaciones parecen estar dirigidas a usuarios en China y el sudeste asiático, nada en el malware limita su alcance regional.
Apple y Google han eliminado las aplicaciones en cuestión tras la divulgación, pero la campaña probablemente ha estado activa desde principios de 2024 y aún podría estar en curso a través de variantes cargadas lateralmente y tiendas clon, advirtieron los investigadores.
Traducido por DarkTokenX
