Kaspersky Threat Research berhasil mengidentifikasi varian baru Trojan SparkCat di App Store dan Google Play — setahun setelah malware pencuri kripto ini pertama kali ditemukan dan dihapus dari kedua platform tersebut. Trojan ini bersembunyi di dalam aplikasi yang tampak sah dan memindai galeri foto pengguna untuk mencari frasa pemulihan dompet aset kripto.
Versi baru SparkCat didistribusikan melalui aplikasi sah yang terinfeksi — aplikasi pesan yang dirancang untuk komunikasi perusahaan dan aplikasi pengiriman makanan. Pakar Kaspersky menemukan dua aplikasi yang terinfeksi di App Store dan satu di Google Play, yang kode berbahayanya telah dihapus. Telemetri Kaspersky menunjukkan bahwa aplikasi yang terinfeksi SparkCat juga didistribusikan melalui sumber pihak ketiga. Beberapa halaman web ini meniru App Store jika dibuka dari iPhone.
Varian Trojan yang diperbarui untuk Android memindai galeri gambar pada perangkat yang disusupi untuk tangkapan layar yang berisi kata kunci tertentu dalam bahasa Jepang, Korea, dan Cina, yang membuat pakar Kaspersky menilai bahwa kampanye ini terutama menargetkan aset kripto pengguna di Asia. Namun, varian iOS mengambil pendekatan yang berbeda karena memindai frasa mnemonik dompet aset kripto, yang berbahasa Inggris. Hal ini membuat varian iOS berpotensi memiliki jangkauan yang lebih luas, karena dapat memengaruhi pengguna tanpa memandang wilayah mereka.
Versi SparkCat yang diperbarui untuk Android memiliki beberapa lapisan pengaburan dibandingkan versi sebelumnya, termasuk virtualisasi kode dan penggunaan bahasa pemrograman lintas platform — teknik yang jarang ditemukan pada malware seluler.
Kaspersky telah melaporkan aplikasi berbahaya yang diketahui kepada Google dan Apple.
“Varian SparkCat yang diperbarui meminta akses untuk melihat foto di galeri ponsel pintar pengguna dalam skenario tertentu — sama seperti versi Trojan pertama. Ia menganalisis teks dalam gambar yang tersimpan menggunakan modul pengenalan karakter optik. Jika penyerang menemukan kata kunci yang relevan, ia mengirimkan gambar tersebut ke penyerang. Mengingat kesamaan antara sampel saat ini dan yang sebelumnya, kami percaya bahwa pengembang versi malware baru ini adalah orang yang sama. Kampanye ini sekali lagi menggarisbawahi pentingnya menggunakan solusi keamanan untuk ponsel pintar agar tetap terlindungi dari berbagai ancaman siber,” kata Sergey Puzan, pakar keamanan siber di Kaspersky.
Malware SparkCat adalah ancaman seluler yang terus berkembang. Pelaku ancaman di baliknya terus meningkatkan kompleksitas teknik anti-analisis yang memungkinkannya untuk melewati proses peninjauan toko aplikasi resmi. Selain itu, metode yang digunakan oleh pengembang SparkCat, seperti virtualisasi kode dan penggunaan bahasa pemrograman lintas platform, jarang ditemukan pada malware seluler. Ini menunjukkan keahlian tinggi dari para pelaku ancaman,” tambah Dmitry Kalinin, pakar keamanan siber di Kaspersky.
Ancaman ini terdeteksi oleh produk Kaspersky dengan hasil deteksi sebagai berikut: HEUR:Trojan.AndroidOS.SparkCat., HEUR:Trojan.IphoneOS.SparkCat.
