Un recente rapporto di Kaspersky ha rivelato la presenza di un software malevolo all’interno di app per Android e iOS distribuite su Google Play Store e Apple App Store. Questo software utilizza un kit di sviluppo (SDK) progettato per rubare le frasi di recupero dei wallet di criptovalute tramite tecniche di riconoscimento ottico dei caratteri (OCR).
La campagna “SparkCat”
La campagna malevola, denominata “SparkCat“, prende il nome da uno dei componenti infetti dell’SDK chiamato “Spark“. Secondo le analisi, gli sviluppatori delle app coinvolte non sarebbero stati consapevoli dell’inclusione del malware nei loro software.
Solo su Google Play, dove i dati di download sono pubblicamente disponibili, le app infette sono state scaricate oltre 242.000 volte.
Come funziona l’SDK malevolo
Il codice malevolo presente nelle app Android sfrutta un modulo Java denominato “Spark”, mascherato come un componente analitico legittimo. Questo modulo si basa su un file di configurazione criptato archiviato su GitLab, che fornisce comandi e aggiornamenti operativi.
Per quanto riguarda i dispositivi iOS, l’SDK infetto assume nomi differenti come “Gzip”, “googleappsdk” o “stat”. Inoltre, utilizza un modulo di rete basato su Rust, denominato “im_net_sys”, per comunicare con i server di comando e controllo (C2).
L’SDK sfrutta Google ML Kit OCR per estrarre il testo dalle immagini presenti sul dispositivo, cercando frasi di recupero dei wallet. In questo modo, i criminali informatici possono caricare i wallet sui propri dispositivi senza conoscere la password dell’utente legittimo.
Il processo di attacco
Il malware si attiva seguendo un preciso schema:
- Caricamento di modelli OCR specifici per lingua, distinguendo caratteri latini, coreani, cinesi e giapponesi.
- Scansione delle immagini nel dispositivo alla ricerca di parole chiave correlate alle criptovalute.
- Invio dei dati a un server di comando e controllo (C2), utilizzando un endpoint specifico (/api/e/d/u).
- Ricezione di istruzioni dal server su come procedere con l’attacco e il furto delle informazioni.
Secondo Kaspersky, alcune delle app infette presentano una targetizzazione geografica, indicando che il malware potrebbe essere stato progettato per colpire specifiche regioni (Europa, Asia, ecc.), anche se non si esclude che possa operare a livello globale.
Le app infette
Kaspersky ha identificato 18 app Android e 10 app iOS contenenti l’SDK malevolo. Alcune di queste sono ancora disponibili negli store ufficiali. Un esempio è ChatAi, un’app per Android che ha superato i 50.000 download su Google Play, ma che ora è stata rimossa.
L’elenco completo delle app compromesse è disponibile nel report pubblicato da Kaspersky.
Come proteggersi
Se hai installato una delle app segnalate, è fortemente consigliato:
- Disinstallare immediatamente l’app infetta.
- Utilizzare un antivirus mobile per rilevare eventuali tracce del malware.
- Effettuare un reset di fabbrica del dispositivo se si sospetta un’infezione persistente.
Consigli per la sicurezza delle frasi di recupero
Memorizzare le frasi di recupero dei wallet in screenshot o immagini salvate nel dispositivo è una pratica altamente rischiosa. In alternativa, è consigliabile:
- Scrivere la frase di recupero su carta e conservarla in un luogo sicuro.
- Utilizzare dispositivi di archiviazione crittografati e offline.
- Usare password manager self-hosted e offline, evitando soluzioni cloud.
L’attacco “SparkCat” rappresenta la prima campagna nota in cui un malware di tipo stealer è stato rilevato su Apple App Store. Questo sottolinea l’importanza di scaricare app solo da fonti affidabili, leggere le recensioni e utilizzare sempre software di sicurezza aggiornati per proteggere le proprie criptovalute.
Questo contenuto non deve essere considerato un consiglio di investimento.
Non offriamo alcun tipo di consulenza finanziaria. L’articolo ha uno scopo soltanto informativo e alcuni contenuti sono Comunicati Stampa
scritti direttamente dai nostri Clienti.
I lettori sono tenuti pertanto a effettuare le proprie ricerche per verificare l’aggiornamento dei dati.
Questo sito NON è responsabile, direttamente o indirettamente, per qualsivoglia danno o perdita, reale o presunta,
causata dall'utilizzo di qualunque contenuto o servizio menzionato sul sito https://www.borsainside.com.
- Zero Commissioni sui CFD
- Oltre 800 ETF a zero commissioni per i primi 3 mesi (soggetto a condizioni).
- Strumenti avanzati di analisi
