Après son installation, le programme malveillant demande l'accès aux photos, analyse les images à la recherche d'informations confidentielles et envoie les résultats vers des serveurs distants contrôlés par les malfaiteurs. SparkKitty n'utilise pas des méthodes traditionnelles d'interception de données telles que l'enregistrement des frappes au clavier ou la surveillance du presse-papiers, mais emploie la technologie de reconnaissance optique de caractères (OCR) pour extraire directement le texte des photos et des captures d'écran. Cela lui permet de contourner les systèmes de sécurité standard et de voler les mots de passe, les phrases de départ (seed phrases) et d'autres données secrètes, même si elles ne sont pas saisies au clavier ou copiées dans le presse-papiers, ont expliqué les analystes de Check Point.
Si les malfaiteurs parviennent à s'emparer d'une phrase de départ, ils obtiennent un contrôle total sur le portefeuille cryptographique et sont capables de le vider en quelques minutes. Le programme malveillant fonctionne de manière discrète, en arrière-plan, de sorte que le propriétaire de l'appareil peut ne pas remarquer immédiatement le vol de ses fonds — jusqu'à ce qu'il se connecte à son portefeuille cryptographique.
Le programme malveillant a été détecté pour la première fois par les experts de Kaspersky au début de l'année 2024 — sous le nom de SparkCat. Mais le programme a évolué. Les créateurs de SparkKitty le diffusent désormais plus fréquemment sur l'App Store d'Apple et sur Google Play en se faisant passer pour des applications imitant des services légitimes de cryptomonnaie, des messageries et des services de divertissement. Cela augmente considérablement la probabilité qu'il soit installé par des utilisateurs ne se doutant de rien.
Pour les appareils iOS, le programme malveillant a été intégré dans une application de cryptomonnaie appelée 币coin et publiée sur l'App Store. Il n'est toujours pas clair si le compte du développeur a été piraté ou s'il était au courant de l'infection. L'application a réussi à contourner les contrôles de sécurité d'Apple en dissimulant son code malveillant dans des frameworks obfusqués, AFNetworking et libswiftDarwin.dylib. Ces modules ont été conçus de manière à ce que l'application paraisse légitime, permettant ainsi à SparkKitty d'éviter d'être détecté, ont expliqué les experts de Check Point.
La version pour Android a été diffusée via une application nommée SOEX, qui a été téléchargée plus de 10 000 fois sur Google Play. L'application se faisait passer pour une plateforme de messagerie et d'échange de cryptomonnaies, mais permettait aux pirates d'accéder aux stockages de fichiers multimédias sur les smartphones et autres appareils, de surveiller les modifications des fichiers et de voler des données.
Récemment, les experts de la société SlowMist ont découvert une nouvelle méthode utilisée par les pirates pour intercepter les sessions de Telegram Desktop en contournant l'authentification à deux facteurs (2FA) et voler les données de portefeuilles cryptographiques. Récemment, le PDG de la plateforme financière Robinhood, Vlad Tenev, a été victime d'une attaque — son compte sur le réseau social X a été piraté pour promouvoir la memecoin VLAD.
