В январе 2025 года мир информационной безопасности столкнулся с изощренной шпионской кампанией SparkCat, нацеленной на кражу криптовалютных кошельков через модифицированные приложения. Зловред использовал технологию оптического распознавания символов для выявления и хищения сид-фраз из фотогалерей пользователей, распространяясь в том числе через официальные магазины Google Play и App Store.
Описание
Теперь исследователи обнаружили новую угрозу - SparkKitty, которую считают логическим продолжением предыдущей атаки. Этот троянский шпион демонстрирует повышенную изощренность, успешно преодолевая защитные барьеры мобильных экосистем и ставя под удар цифровые активы миллионов пользователей. Ключевая особенность SparkKitty - способность маскироваться под легитимные библиотеки и фреймворки, что позволяет ему избегать детектирования системами безопасности.
На iOS вредоносная нагрузка внедряется через поддельные версии популярных сетевых библиотек AFNetworking.framework или Alamofire.framework, либо через обфусцированные компоненты, замаскированные под системную библиотеку libswiftDarwin.dylib. В некоторых случаях зловредный код интегрируется непосредственно в тело приложения. Для Android угроза существует в двух вариантах: классическая Java-реализация и более современная Kotlin-версия, функционирующая как вредоносный модуль Xposed Framework. Технический анализ показывает, что большинство вариантов троянца без разбора похищают все доступные изображения, однако обнаружен специализированный кластер, использующий OCR-технологии для выборочного захвата снимков, содержащих критически важную информацию. Исторические данные указывают на активность кампании как минимум с февраля 2024 года, что свидетельствует о ее устойчивости и тщательной подготовке.
Первые признаки новой угрозы появились при мониторинге подозрительных онлайн-магазинов, распространяющих модифицированные версии TikTok для Android. В этих взломанных приложениях исследователи обнаружили скрытую функциональность: при запуске основных активностей исполнялся дополнительный код, запрашивающий конфигурационный файл в формате Base64 с домена moabc[.]vip. Расшифрованная конфигурация содержала ссылки на криптовалютный маркетплейс TikToki Mall, интегрированный прямо в интерфейс приложения. Хотя прямых доказательств мошеннической деятельности магазина получить не удалось, дальнейший анализ кода распространяющих страниц выявил признаки целевой доставки вредоносных iOS-приложений. При посещении таких сайтов с iPhone пользователь перенаправляется на фальшивую страницу загрузки, стилизованную под App Store.
Механизм обхода iOS-защит демонстрирует изощренность атакующих. Поскольку Apple запрещает установку приложений из непроверенных источников, злоумышленники используют корпоративные provisioning-профили Enterprise-типа, предназначенные для внутреннего распространения бизнес-приложений. Эти профили содержат цифровые сертификаты разработчика, которые после установки на устройство жертвы позволяют запускать неподписанные Apple приложения. В случае с вредоносным TikTok-модом установка профиля сопровождалась аномальным запросом доступа к фотогалерее - поведением, несвойственным оригинальному приложению. Именно это наблюдение стало отправной точкой для детального анализа.
Расследование выявило, что поддельная библиотека AFNetworking.framework содержит модифицированный класс AFImageDownloader и добавленный AFImageDownloaderTool. Вредоносная нагрузка активируется через механизм селектора load в Objective-C, который автоматически исполняется при загрузке библиотеки. Алгоритм включает несколько этапов: проверка наличия специфического ключа в Info.plist приложения, расшифровка конфигурации с C2-серверами с использованием AES-256, получение разрешения на экспфильтрацию данных через запрос к /api/getImageStatus, постоянный мониторинг галереи изображений и выгрузка новых фото на серверы злоумышленников. Данные передаются через PUT-запросы к /api/putImages, включая само изображение, метаинформацию о приложении и уникальные идентификаторы устройства.
На Android платформе схема работы имеет технические различия при сохранении концепции. Вредоносный код внедрен в приложения криптовалютных бирж и казино, причем Kotlin-версия реализована как модуль LSPosed Framework. Особенностью этой реализации является интеллектуальный выбор C2-сервера: троянец последовательно опрашивает доступные адреса, измеряет время отклика и выбирает наиболее быстрый вариант. Для проверки разрешения на выгрузку данных используется запрос к /api/anheartbeat, а сами изображения передаются на /api/putDataInfo. Любопытной деталью является наличие отладочного механизма: при определенном содержимом файла .DEVICES троянец выгружает только третье изображение из конца алфавитного списка, что характерно для этапа тестирования зловреда.
Тревожным открытием стало обнаружение зараженных приложений в официальных магазинах. В Google Play исследователи выявили мессенджер с функциями криптообмена, установленный более 10 000 раз, в то время как в App Store присутствовало приложение "币coin", позиционирующееся как трекер криптовалют. В обоих случаях вредоносный код был интегрирован непосредственно в тело приложений, а не поставлялся через сторонние библиотеки. В iOS-версии "币coin" критическая функциональность реализована в классе AppDelegate, который обрабатывает ответы от управляющего сервера i.bicoin[.]com[.]cn и инициирует выгрузку фотографий при получении соответствующего разрешения. Технический анализ подтвердил использование аналогичных методов шифрования C2-адресов и схожих протоколов взаимодействия.
Особого внимания заслуживает обнаружение модифицированной версии криптографической библиотеки libcrypto.dylib (компонента OpenSSL), распространяемой под именами wc.dylib и libswiftDarwin.dylib. Библиотека подверглась интенсивной обфускации с использованием LLVM, но анализ с инструментом Frida подтвердил ее участие в шпионской деятельности: она загружает и расшифровывает конфигурацию C2-серверов, отправляет информацию об устройстве и ожидает команды на экспфильтрацию изображений. Знаковым доказательством связи SparkKitty с более ранней кампанией SparkCat стали отладочные символы в вредоносных iOS-фреймворках, содержащие пути к файлам на системах злоумышленников, которые полностью соответствуют путям из предыдущего расследования.
Исследователи также выявили параллельный кластер активности, связанный с прогрессивными веб-приложениями (PWA), распространяемыми через рекламу финансовых пирамид на платформах вроде YouTube. Скачанные Android-приложения, помимо открытия мошеннических сайтов в WebView, запрашивали доступ к хранилищу, использовали библиотеку Google ML Kit для OCR-анализа изображений и выгружали фотографии, содержащие три и более текстовых строки. Сходство тактик (использование облачных хранилищ для C2, акцент на криптовалютную тематику, дизайн распространяющих страниц) позволяет связать этот кластер с основной кампанией SparkKitty. Главной целью злоумышленников остаются криптоактивы жертв, о чем свидетельствует интеграция криптовалютного магазина в модифицированный TikTok, тематика зараженных приложений и источники трафика. Географически атаки сфокусированы на пользователях Юго-Восточной Азии и Китая. Обнаружение SparkKitty в официальных магазинах приложений подчеркивает необходимость постоянного совершенствования защитных механизмов и повышения осведомленности пользователей о рисках установки непроверенного ПО.
Индикаторы компрометации
