Tras la instalación, el programa infectado solicita acceso a las fotos, escanea las imágenes en busca de información confidencial y envía los resultados a servidores remotos controlados por los atacantes. SparkKitty no utiliza métodos tradicionales de interceptación de datos, como el registro de pulsaciones de teclas o el seguimiento del portapapeles, sino tecnología de reconocimiento óptico de caracteres (OCR) para extraer texto directamente de fotos y capturas de pantalla. Esto le permite eludir los sistemas de seguridad estándar y robar contraseñas, frases semilla y otros datos secretos, incluso si no se ingresan por teclado ni se copian al portapapeles, explicaron los analistas de Check Point.
Si los atacantes consiguen hacerse con la frase semilla, obtendrán control total sobre la cartera de criptomonedas y podrán vaciarla en cuestión de minutos. El malware opera de forma discreta, en segundo plano, por lo que el propietario del dispositivo puede no notar de inmediato el robo de fondos, hasta que entre en su cartera de criptomonedas.
Los expertos de Kaspersky detectaron por primera vez este malware a principios de 2024 bajo el nombre de SparkCat. Pero ahora el programa ha cambiado. Los creadores de SparkKitty comenzaron a distribuirlo con más frecuencia en la App Store de Apple y en Google Play haciéndolo pasar por aplicaciones que imitan servicios legítimos de criptomonedas, mensajería y entretenimiento. Esto aumentó significativamente la probabilidad de que usuarios desprevenidos lo instalaran.
Para dispositivos iOS, el malware se integró en la aplicación de criptomonedas 币coin y se subió a la App Store. Todavía no está claro si la cuenta del desarrollador fue hackeada o si era consciente de la infección. La aplicación logró eludir la verificación de seguridad de Apple ocultando el código malicioso en los frameworks ofuscados AFNetworking y libswiftDarwin.dylib. Estos módulos se crearon de tal manera que la aplicación pareciera legítima, y SparkKitty logró evitar la detección, explicaron los especialistas de Check Point.
La versión para Android se distribuyó a través de la aplicación SOEX, que fue descargada en Google Play más de 10,000 veces. La aplicación se hacía pasar por una plataforma de mensajería y criptomonedas, pero permitía a los hackers acceder a los almacenamientos de archivos multimedia en teléfonos inteligentes y otros dispositivos, rastrear cambios en los archivos y robar datos.
Recientemente, los expertos de la empresa SlowMist descubrieron una nueva forma en que los hackers interceptan sesiones de Telegram Desktop eludiendo la autenticación de dos factores (2FA) y roban datos de carteras de criptomonedas. Hace poco, el CEO de la plataforma financiera Robinhood, Vlad Tenev, sufrió un ataque: su cuenta en la red social X fue hackeada para promocionar la memecoin VLAD.
