Alerte Cybersécurité : Kaspersky Détecte des Malwares Mobiles Volant les Phrases Secrètes Crypto

Les portefeuilles crypto ne sont plus en sécurité, même sur mobile. Kaspersky sonne l'alarme avec une nouvelle menace ciblant les seed phrases.

Attaque sournoise : comment les malwares exploitent votre téléphone

Les hackers ont trouvé le talon d'Achille des investisseurs crypto : leur smartphone. Des applications compromises subtilisent désormais les précieuses phrases de récupération - la clé de tous vos actifs numériques.

La sécurité mobile en question

Même les utilisateurs les plus prudents tombent dans le piège. Le malware se propage via des apps en apparence légitimes, souvent des portefeuilles crypto ou outils DeFi falsifiés. Une fois installé, il scanne activement l'appareil à la recherche de ces 12 ou 24 mots magiques.

Ironie du sort : pendant que les exchanges dépensent des millions en marketing, la sécurité de base des utilisateurs reste le maillon faible. Comme si Wall Street vendait des coffres-forts... sans serrure.

Sparkkitty Malware infiltre les magasins d'applications officielles ciblant la crypto

Les chercheurs de Kaspersky ont découvert la campagne Sparkkitty Spyware en janvier 2025, après leur précédente IFication dent logiciels malveillants Sparkcat ciblant les portefeuilles de crypto-monnaie. La nouvelle menace distribue des applications malveillantes via des sources non officielles ainsi que des plateformes officielles de Google Play et App Store, avec des applications infectées déjà supprimées de Google Play après les notifications des chercheurs.

Sparkkitty attaque les plates-formes iOS et Android avec plusieurs mécanismes de livraison pour chacun. Sur iOS, les charges utiles de logiciels malveillants sont livrées via des frameworks qui se masquent en bibliothèques légitimes comme afnetworking.framework ou alamofire.framework, ou des bibliothèques obscurcies se faisant passer pour libswiftdarwin.dylib. Le malware s'insère également directement dans les applications.

Les systèmes d'exploitation Android utilisent à la fois les langues Java et Kotlin, avec des versions Kotlin utilisées comme modules Xposés malveillants. La majorité des versions de logiciels malveillants détournent sans discernement toutes les images sur les appareils, bien que les chercheurs aient détecté des grappes malveillantes similaires utilisant une reconnaissance optique de caractère optique pour attaquer des images spécifiques avec des informations sensibles.

La campagne est active depuis au moins février 2024, et elle a également partagé des tactiques et des infrastructures de ciblage avec l'opération SparkCat précédente.

Sparkkitty a une portée plus large que l'attaque ciblée de Sparkcat contre les phrases de graines de crypto-monnaie car elle gratte toutes les images disponibles à partir d'appareils infectés. Cela a le potentiel de récolter d'autres types d'informations financières et personnelles sensibles stockées dans les galeries d'appareils.

Les mods Tiktok des magasins obscurs servent de vecteur d'infection primaire

Les analystes de Kaspersky ont initialement rencontré la campagne lorsque tracKing King a régulièrement des liens qui propageaient les modifications des applications Android Tiktok. Les applications modifiées ont exécuté un code de logiciel malveillant supplémentaire lorsque les utilisateurs ont lancé les activités de l'application principales.

Les URL de fichier de configuration ont été présentées sous forme de boutons dans les applications compromises, lançant des sessions WebView pour afficher Tiktoki Mall, un portail d'achat Internet qui prend la crypto-monnaie pour les articles de consommation.

L'enregistrement et l'achat étaient limités pour exiger des codes d'invitation, les chercheurs n'ont donc pas pu déterminer la légitimité du magasin ou si elle était opérationnelle. Les vecteurs d'infection iOS exploitent les profils d'entreprise du programme de développeur Apple pour contourner les restrictions d'installation d'applications normales.

Les attaquants détournent les certificats d'entreprise pour la distribution des applications organisationnelles de niveau d'entreprise, permettant aux applications malveillantes d'installer sur n'importe quel appareil sans approbation de l'App Store. La mauvaise utilisation du profil d'entreprise est une tactique répandue utilisée par les développeurs d'applications inappropriées telles que les casinos en ligne, les fissures logicielles et les modifications illégales.

Versions infectées des applications TIKTOK IOS Demande les autorisations de la galerie de photos pendant le démarrage, qui est absente dans les sorties authentiques de Tiktok. Le malware est intégré dans des cadres qui prétendent être afnetworking.framework et les classes afiMagedownOader falsifiées et d'autres composants afimagedownloadtool.

Les variantes de logiciels malveillants Android volent des images à travers des applications sur le thème de la crypto-monnaie

Les versions Android de Sparkkitty fonctionnent via des applications sur le thème de la crypto-monnaie avec du code malveillant intégré aux points d'entrée. Le malware demande des fichiers de configuration contenant des adresses de commandes et de commande, les décryptant à l'aide du cryptage AES-256 en mode BCE avant d'établir une communication avec des serveurs distants.

Le vol d'image se produit à travers des processus en deux étapes impliquant des empreintes digitales et des mécanismes de téléchargement sélectifs. Le logiciel malveillant crée des hachages MD5 combinant le périphérique IMEI, les adresses MAC et les UUID aléatoires, stockant ces i-ifiersdentdans des fichiers sur le stockage externe.

Les applications de casino utilisent l'intégration du cadre LSPosed, fonctionnant comme des modules Xposés malveillants qui accrochent les points d'entrée d'application. Une application de messagerie infectée avec des fonctionnalités d'échange de crypto-monnaie a atteint plus de 10 000 installations sur Google Play avant le retrait après les notifications de Kaspersky.

Les applications Web progressives se propagent via des plateformes d'escroquerie annonçant des schémas Ponzi sur les plateformes de médias sociaux populaires. Ces pages contenant PWA invitent les utilisateurs à télécharger des fichiers APK qui enregistrent le contenu de téléchargement des gestionnaires, le traitement des images JPEG et PNG via la technologie de reconnaissance de caractères optique de Google ML Kit àdentcaptures d'écran contenant du texte.

Cryptopolitan Academy: Vous voulez développer votre argent en 2025? Apprenez à le faire avec DeFi dans notre prochaine webclass. Enregistrez votre place