Το SparkKitty επιτίθεται σε συσκευές iOS και Android μέσω των App Store τους

Οι ερευνητές στον τομέα της κυβερνοασφάλειας αποκάλυψαν μια εξελιγμένη νέα εκστρατεία spyware  με την ονομασία SparkKitty, η οποία κατάφερε να διεισδύσει επιτυχώς τόσο στο App Store της Apple όσο και στο Google Play Store, σηματοδοτώντας μια σημαντική κλιμάκωση στη διάδοση κακόβουλου λογισμικού μέσω επίσημων καναλιών. Το λογισμικό αυτό, που λειτουργεί ως trojan, αποτελεί την τελευταία εξέλιξη στις επιθέσεις με επίκεντρο τα κρυπτονομίσματα, βασιζόμενο στην προηγουμένως εντοπισμένη καμπάνια SparkCat, επεκτείνοντας όμως τη δράση του και στις δύο βασικές πλατφόρμες κινητών.

Δείτε επίσης: App Store: Τι έχει κάνει η Apple για να ενισχύσει την ασφάλεια

Το κακόβουλο λογισμικό επιδεικνύει εντυπωσιακή ευελιξία στους τρόπους διάδοσής του, εξαπλωνόμενο όχι μόνο μέσω των επίσημων καταστημάτων εφαρμογών, αλλά και μέσω ανεπίσημων πηγών και τροποποιημένων εφαρμογών. Το SparkKitty στοχεύει ταυτόχρονα συσκευές iOS και Android, χρησιμοποιώντας τεχνικές που είναι ειδικά προσαρμοσμένες σε κάθε πλατφόρμα, με στόχο την παράκαμψη των μηχανισμών ασφαλείας και την εξασφάλιση μόνιμης πρόσβασης στις συσκευές των θυμάτων.

Η εκστρατεία βρίσκεται σε εξέλιξη από τουλάχιστον τον Φεβρουάριο του 2024, γεγονός που υποδηλώνει μια συντονισμένη και μακροχρόνια προσπάθεια από πλευράς κυβερνοεγκληματιών να παραβιάσουν κινητές συσκευές σε παγκόσμιο επίπεδο.

Οι ερευνητές της Securelist παρατήρησαν ότι το SparkKitty χρησιμοποιεί πολλαπλές μεθόδους διανομής, με σκοπό να μεγιστοποιήσει τις πιθανότητες μόλυνσης.

Στις συσκευές iOS, το κακόβουλο φορτίο μεταδίδεται μέσω frameworks που μιμούνται νόμιμες βιβλιοθήκες δικτύωσης, όπως το AFNetworking.framework ή το Alamofire.framework, ενώ ταυτόχρονα γίνεται χρήση συσκοτισμένων βιβλιοθηκών που παρουσιάζονται ως δήθεν συστημικά αρχεία, όπως το libswiftDarwin.dylib. Η παραλλαγή για Android λειτουργεί μέσω υλοποιήσεων σε Java και Kotlin, ενώ ορισμένες εκδόσεις εμφανίζονται ως κακόβουλα Xposed modules, τα οποία παρεμβαίνουν στα σημεία εισόδου εφαρμογών.

Δείτε ακόμα: Δικαστής πιέζει την Apple να εγκρίνει το Fortnite στο App Store

Ο κύριος στόχος του SparkKitty φαίνεται να είναι η κλοπή φωτογραφιών που είναι αποθηκευμένες σε μολυσμένες συσκευές, με ιδιαίτερη έμφαση σε εικόνες που περιέχουν seed phrases πορτοφολιών κρυπτονομισμάτων.

Σε αντίθεση με τον προκάτοχό του, το SparkCat, το οποίο χρησιμοποιούσε οπτική αναγνώριση χαρακτήρων (OCR) για να εντοπίζει επιλεκτικά συγκεκριμένο περιεχόμενο, το SparkKitty υιοθετεί μια πιο εκτεταμένη προσέγγιση, κλέβοντας αδιάκριτα όλες τις προσβάσιμες εικόνες από τις συλλογές των συσκευών.

Αυτή η πιο γενικευμένη τακτική υποδηλώνει ότι οι επιτιθέμενοι επιχειρούν να διευρύνουν το φάσμα συλλογής πληροφοριών, με στόχο τον εντοπισμό πιθανώς πολύτιμων οικονομικών δεδομένων. Η εκστρατεία παρουσιάζει γεωγραφική στόχευση, επικεντρωμένη κυρίως σε χρήστες στη Νοτιοανατολική Ασία και την Κίνα, μέσω εφαρμογών που είναι ειδικά σχεδιασμένες για αυτές τις περιοχές, όπως κινεζικά τυχερά παιχνίδια, τροποποιήσεις του TikTok και εφαρμογές με σεξουαλικό περιεχόμενο.

Δείτε επίσης: Google Play: Βρέθηκαν πάνω από 300 κακόβουλες εφαρμογές με 60 εκατ. λήψεις

Βάσει των παραπάνω, είναι εμφανές ότι το SparkKitty αντιπροσωπεύει μια νέα γενιά κακόβουλου λογισμικού που εστιάζει σε προσωπικά και οικονομικά δεδομένα με ιδιαίτερα ύπουλο τρόπο. Η στόχευση φωτογραφιών που ενδέχεται να περιέχουν seed phrases, υποδεικνύει πως οι δράστες δεν αναζητούν απλώς γενικές πληροφορίες, αλλά επιδιώκουν άμεση πρόσβαση σε ψηφιακά πορτοφόλια και οικονομικά περιουσιακά στοιχεία των θυμάτων.

Πηγή: cybersecuritynews