カスペルスキー、AndroidおよびIOSユーザーの暗号ウォレットを狙うマルウェア「SparkCat」について警告

カスペルスキーの研究者は、改ざんされたモバイルアプリに悪意のあるソフトウェア開発キット（SDK）を埋め込むことで、暗号通貨ウォレットのリカバリフレーズを狙うクロスプラットフォームのマルウェアキャンペーン「SparkCat」を確認しました。

報告書によると、このマルウェアはユーザーの画像ギャラリーをスキャンして機密データを探し出し、2023年3月に初めて検出された手法だという。

当初、サイバーセキュリティの専門家は、暗号ウォレットのニーモニックを抽出し、リモートサーバーに送信するマルウェア混入のメッセージングアプリを発見した。当時、この攻撃は非公式なソースからアプリをダウンロードするAndroidとWindowsユーザーに限定されていた。

しかし、2024年後半に発見されたSparkCatキャンペーンは、その範囲を拡大している。新しいバージョンは、AndroidとiOSデバイスの公式および非公式のマーケットプレイスで利用可能なアプリに悪意のあるSDKを統合している。

一旦アクティブになると、SparkCatはGoogle ML KitのOCRツールを使用してデバイスの画像ギャラリーをスキャンし、英語、中国語、韓国語、日本語、およびいくつかのヨーロッパ言語を含む複数の言語で暗号ウォレットの回復フレーズに関連する特定のキーワードを検索します。

マルウェアはその後、アマゾンのクラウドストレージやRustベースのプロトコルを介して、攻撃者が管理するサーバーに画像をアップロードする。暗号化されたデータ転送や非標準的な通信方法によって、その活動を追跡する上で複雑なレイヤーが追加される。

IOS上では、SparkCatは感染したアプリに埋め込まれた悪意のあるフレームワークを通じて動作し、ウイルスがGZIP、Googleappsdk、statなどの名前で自身を偽装することを可能にします。

Objective-Cで書かれ、HikariLLVで難読化されたこのフレームワークは、ギャラリー内の画像からテキストを抽出するためにGoogle ML Kitと統合されます。

どうやらこのマルウェアは、メッセージの内容やスクリーンショットに残っているパスワードなど、他の機密データも盗むことができるようだ。

カスペルスキーは、アジアとヨーロッパ全域ですでに242,000台以上のデバイスがこのマルウェアに感染していると推定している。マルウェアの正確な感染源はまだ不明だが、コードやエラーメッセージに埋め込まれたコメントから、マルウェアの開発者は中国語圏の出身であることが示唆されている。

カスペルスキーの研究者は、スクリーンショット内に縫い付けられたフレーズやプライベートキー、パスワードのような重要な情報を保存しないようユーザーに呼びかけている。

洗練されたマルウェアは暗号空間における一貫した脅威であり続けており、悪質な行為者がグーグルやアップルのストアセキュリティ対策を迂回することに成功したのは今回が初めてではない。