- 卡巴斯基发现SparkKitty恶意软件通过OCR技术针对加密货币助记短语。
- 该恶意软件通过受感染的应用程序入侵了官方App Store和Google Play。
- 自2024年以来，该活动针对东南亚地区的用户，利用赌博应用和TikTok修改版进行传播。
卡巴斯基对窃取移动设备上加密种子短语的恶意软件发出警报
卡巴斯基安全研究人员发现了一场针对加密货币用户的移动恶意软件活动，通过受感染的应用程序进行传播。
SparkKitty间谍软件据报道通过光学字符识别技术窃取包含种子短语的设备截图，在iOS和Android平台上通过官方应用商店进行。
卡巴斯基研究人员于2025年1月发现了SparkKitty间谍软件活动，此前他们曾识别出针对加密货币钱包的SparkCat恶意软件。新的威胁通过非官方渠道以及官方Google Play和App Store平台分发恶意应用程序，在研究人员通知后，受感染的应用程序已从Google Play中移除。
卡巴斯基研究人员在2025年1月发现了SparkKitty间谍软件活动，此前他们曾识别出针对加密货币钱包的SparkCat恶意软件。新威胁通过非官方来源以及官方Google Play和App Store平台分发恶意应用程序，在研究人员通知后，受感染的应用程序已从Google Play中移除。
SparkKitty恶意软件渗透官方应用商店，针对加密货币
Android操作系统同时使用Java和Kotlin语言，Kotlin版本被用作恶意的Xposed模块。大多数恶意软件版本 indiscriminately（不加区分地）劫持设备上的所有图像，尽管研究人员检测到类似的恶意集群使用光学字符识别技术攻击包含敏感信息的特定图片。
该活动至少从2024年2月开始活跃，并且与之前的SparkCat行动共享了目标策略和基础设施。
SparkKitty的影响范围比SparkCat针对加密货币种子短语的定向攻击更广泛，因为它会抓取感染设备上的所有可用图像。这有可能 harvested（收集）存储在设备图库中的其他类型的敏感财务和个人信息。
来自不明商店的TikTok修改版应用成为主要感染途径
卡巴斯基分析师最初在追踪定期传播的TikTok Android应用修改版的可疑链接时发现了该活动。当用户启动主应用活动时，这些修改版应用会执行额外的恶意软件代码。
配置文件URL在受感染的应用程序中显示为按钮，启动WebView会话以显示TikToki Mall，这是一个接受加密货币作为消费者物品的互联网购物门户。
受感染的应用App Store截图
攻击者劫持企业证书用于企业级组织应用分发，使恶意应用无需App Store批准即可安装在任何设备上。企业配置文件滥用是不当应用（如在线赌场、软件破解和非法修改版）开发者广泛采用的策略之一。
受感染的TikTok iOS应用在启动时请求照片库权限，而真正的TikTok版本中没有此权限。恶意软件集成在伪装成AFNetworking.framework的框架中，以及篡改的AFImageDownloader类和其他AFImageDownloaderTool组件中。
SparkKitty通过多种交付机制攻击iOS和Android平台。在iOS上，恶意软件载荷通过伪装成AFNetworking.framework或Alamofire.framework等合法库的框架，或伪装成libswiftDarwin.dylib的混淆库进行交付。恶意软件还会直接插入应用程序中。
Android恶意软件变体通过加密货币主题应用程序窃取图像
配置文件安装流程。来源：卡巴斯基
赌场应用利用LSPosed框架集成，作为挂钩应用入口点的恶意Xposed模块。一个具有加密货币交易所功能的受感染消息应用程序在Google Play上达到了超过10,000次安装，在卡巴斯基通知后被移除。
不要只是阅读加密货币新闻，要真正理解它。订阅我们的通讯。 免费。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Vignesh Karunanidhi
Vignesh 是一位加密货币内容作家、记者、内容编辑和社交媒体经理。他拥有商学硕士学位，在科技、机器人、商业和人工智能新闻领域积累了丰富经验。过去 6 多年间，他曾服务于 Watcher.guru、BeInCrypto、CoinGape、Milkroad 及 Airdrops 等平台。
