一种新发现的恶意软件已下载超过 20 万次,该恶意软件已渗透到流行的移动应用程序中,窃取加密货币钱包私钥。
网络安全公司卡巴斯基在 2 月 4 日的一份报告中警告称,SparkCat 是一种针对 Android 和 iOS 用户的恶意软件,它通过嵌入在看似无害的应用程序中恶意软件开发工具包进行传播。
它使用光学字符识别(一种从图像中读取文本的技术)来扫描受害者的照片库,寻找隐藏在屏幕截图或已保存的笔记中的加密钱包恢复短语。
该恶意软件自 2024 年 3 月以来一直处于活跃状态,其中一些受感染的应用程序(包括外卖和人工智能消息应用程序)可在 Google Play 和 App Store 上找到。这也是已知的第一个基于 OCR 的窃取程序进入 Apple 平台的实例。
在 Android 上,恶意软件通过名为 Spark 的 Java SDK 注入,该 SDK 伪装成分析模块。当受感染的应用程序启动时,Spark 会从远程 GitLab 存储库中检索加密的配置文件。
激活后,SparkCat 会使用 Google ML Kit 的 OCR 工具扫描设备的图片库。它会在多种语言中搜索与加密钱包恢复短语相关的特定关键字,包括英语、中文、韩语、日语和几种欧洲语言。
然后,恶意软件通过亚马逊云存储或基于 Rust 的协议将图像上传到攻击者控制的服务器,由于加密的数据传输和非标准的通信方法,这增加了跟踪其活动的复杂性。
在 iOS 上,SparkCat 通过嵌入在受感染应用程序中的恶意框架进行操作,该框架伪装成 GZIP、googleappsdk 或 stat 等名称。该框架用 Objective-C 编写,并使用 HikariLLVM 进行混淆,与 Google ML Kit 集成以从图库中的图像中提取文本。
为了避免引起怀疑,iOS 版本仅当用户执行特定操作(例如打开支持聊天)时才会请求图库访问权限。
报告还警告称,“恶意软件的灵活性”使其能够窃取其他敏感数据,如“可能保留在屏幕截图上的消息内容或密码”。
与此同时,私钥盗窃给加密行业造成了严重损害,成为迄今为止该行业遭受最大损失的主要原因之一。