Il team Kaspersky Threat Research ha individuato una nuova variante del trojan SparkCat su App Store e Google Play, a un anno dalla prima scoperta e rimozione di questo malware progettato per il furto di criptovalute da entrambe le piattaforme. Il trojan si nasconde all’interno di applicazioni dall’aspetto legittimo e analizza le gallerie fotografiche degli utenti alla ricerca delle frasi di recupero dei portafogli di criptovalute.
La nuova versione di SparkCat viene diffusa tramite app legittime compromesse, tra cui applicazioni di messaggistica progettate per la comunicazione aziendale e un’app per la consegna di cibo a domicilio. Gli esperti di Kaspersky hanno individuato due app infette sull’App Store e una su Google Play, dalle quali il codice dannoso è stato nel frattempo rimosso. I dati di telemetria di Kaspersky indicano inoltre che le app infettate da SparkCat vengono distribuite anche tramite fonti di terze parti. Alcune di queste pagine web simulano l’App Store quando vengono aperte da un iPhone.
La variante aggiornata del trojan per Android esegue una scansione delle gallerie di immagini sui dispositivi compromessi alla ricerca di screenshot contenenti parole chiave specifiche in giapponese, coreano e cinese. Questo porta gli esperti di Kaspersky a ritenere che la campagna sia rivolta principalmente alle criptovalute degli utenti asiatici. La variante per iOS, invece, adotta un approccio diverso: cerca infatti le frasi mnemoniche dei portafogli di criptovalute, generalmente in inglese. Questo rende la versione per iOS potenzialmente più diffusa, poiché può colpire utenti indipendentemente dalla loro area geografica.
Rispetto alle versioni precedenti, la nuova versione di SparkCat per Android presenta diversi livelli di offuscamento, tra cui la virtualizzazione del codice e l’uso di linguaggi di programmazione multipiattaforma, tecniche relativamente rare nel malware per dispositivi mobili.
Kaspersky ha segnalato a Google e Apple alcune applicazioni dannose già note.
“La variante aggiornata di SparkCat richiede, in determinati casi, l’accesso alla galleria fotografica dello smartphone dell’utente, proprio come la primissima versione del trojan. Analizza il testo contenuto nelle immagini memorizzate utilizzando un modulo di riconoscimento ottico dei caratteri. Se il malware individua parole chiave rilevanti, invia l’immagine agli autori dell’attacco. Considerando le somiglianze tra il campione attuale e quello precedente, riteniamo che gli sviluppatori della nuova versione del malware siano gli stessi. Questa campagna sottolinea ancora una volta l’importanza di utilizzare soluzioni di sicurezza per smartphone, per proteggersi da un’ampia gamma di minacce informatiche”, ha affermato Sergey Puzan, Cybersecurity Expert di Kaspersky.
“Il malware SparkCat rappresenta una minaccia mobile in continua evoluzione. I suoi autori ne aumentano costantemente la complessità delle tecniche anti-analisi, consentendogli di eludere i processi di revisione degli app store ufficiali. Inoltre, i metodi utilizzati, come la virtualizzazione del codice e l’uso di linguaggi di programmazione multipiattaforma, sono rari nel panorama del malware mobile. Questo dimostra l’elevato livello di competenza degli autori della minaccia”, ha aggiunto Dmitry Kalinin, Cybersecurity Expert di Kaspersky.
Questa minaccia viene rilevata dai prodotti Kaspersky con i seguenti verdict: HEUR:Trojan.AndroidOS.SparkCat*., HEUR:Trojan.IphoneOS.SparkCat*.
Per proteggersi da questo malware, Kaspersky raccomanda di:
· Utilizzare un software di sicurezza informatica affidabile, come Kaspersky for Mobile, in grado di proteggere i dati sugli smartphone dagli attacchi informatici. Kaspersky for Android impedisce l’installazione del malware, mentre Kaspersky for iOS, grazie alle caratteristiche architetturali del sistema operativo Apple, blocca i tentativi di connessione ai server di comando degli hacker e mostra un avviso agli utenti.
· Evitare di salvare nella galleria screenshot contenenti informazioni sensibili, in particolare le frasi seed dei portafogli di criptovalute. Questi dati, così come gli screenshot di documenti importanti, dovrebbero essere conservati in applicazioni specializzate come Kaspersky Password Manager.
· Prestare attenzione anche quando si scaricano app dagli store ufficiali, poiché non sono sempre privi di rischi.
