Nova varijanta mobilnog \u0161pijunskog softvera, nazvana SparkKitty, infiltrirala se u Apple-ovu App Store i Google Play, preru\u0161ena kao aplikacije vezane za kriptovalute i modifikovane aplikacije kako bi potajno izvukla slike klju\u010dnih fraza (seed phrases) i podatke o nov\u010daniku.<\/p>\n
Ovaj zlonamjerni softver izgleda kao nasljednik SparkCat kampanje, koja je prvi put otkrivena po\u010detkom 2025. godine, a koristila je la\u017ene module za \u0107askanje za podr\u0161ku kako bi tiho pristupala korisni\u010dkim galerijama i eksfiltrirala osjetljive snimke ekrana.<\/p>\n
SparkKitty podi\u017ee istu strategiju nekoliko koraka dalje, kako su naveli istra\u017eiva\u010di kompanije Kaspersky u objavi od ponedjeljka.<\/p>\n
Za razliku od SparkCat-a, koji se uglavnom \u0161irio putem neoficijelnih Android paketa, potvr\u0111eno je da se SparkKitty nalazi u vi\u0161e iOS i Android aplikacija dostupnih u zvani\u010dnim prodavnicama, uklju\u010duju\u0107i aplikaciju za razmjenu poruka sa funkcijama kripto mjenja\u010dnice (sa preko 10.000 instalacija na Google Play-u) i iOS aplikaciju pod nazivom \u201c\u5e01coin\u201d, maskiranu kao alat za pra\u0107enje portfolija.<\/p>\n
Sr\u017e iOS varijante predstavlja naoru\u017eana verzija AFNetworking ili Alamofire okvira, gdje su napada\u010di ugradili prilago\u0111enu klasu koja se automatski pokre\u0107e pri pokretanju aplikacije koriste\u0107i Objective-C +load selektor.<\/p>\n
Pri pokretanju, provjerava skrivenu konfiguracijsku vrijednost, preuzima adresu komandno-kontrolnog (C2) servera, skenira korisni\u010dku galeriju i po\u010dinje da u\u010ditava slike. C2 adresa nala\u017ee zlonamjernom softveru \u0161ta da radi, kao \u0161to je kada da ukrade podatke ili po\u0161alje datoteke, i prima ukradene informacije nazad.<\/p>\n
Android varijanta koristi modifikovane Java biblioteke kako bi postigla isti cilj. OCR se primjenjuje putem Google ML Kit za analizu slika. Ako se otkrije klju\u010dna fraza ili privatni klju\u010d, datoteka se ozna\u010dava i \u0161alje na servere napada\u010da.<\/p>\n
Instalacija na iOS se vr\u0161i putem profila za obezbje\u0111ivanje preduze\u0107a (enterprise provisioning profiles), ili metode namijenjene internim korporativnim aplikacijama, ali se \u010desto zloupotrebljava za zlonamjerni softver.<\/p>\n
\u017drtve se navode da ru\u010dno povjeruju sertifikatu programera povezanom sa \u201cSINOPEC SABIC Tianjin Petrochemical Co. Ltd.\u201d, \u010dime se SparkKitty-u dodjeljuju dozvole na sistemskom nivou.<\/p>\n
Nekoliko C2 adresa koristilo je AES-256 enkripcijski \u0161ifrovane konfiguracione datoteke hostovane na obskurnim serverima.<\/p>\n
Nakon de\u0161ifrovanja, ukazuju na preuzima\u010de tereta i krajnje ta\u010dke, kao \u0161to su \/api\/putImages i \/api\/getImageStatus, gdje aplikacija odre\u0111uje da li \u0107e u\u010ditati ili odgoditi prijenos fotografija.<\/p>\n
Istra\u017eiva\u010di kompanije Kaspersky otkrili su i druge verzije zlonamjernog softvera koje koriste la\u017enu OpenSSL biblioteku (libcrypto.dylib) sa obskurnom inicijalizacionom logikom, \u0161to ukazuje na evoluiraju\u0107i set alata i vi\u0161estruke vektore distribucije.<\/p>\n
Iako se \u010dini da su ve\u0107ina aplikacija usmjerene na korisnike u Kini i jugoisto\u010dnoj Aziji, ni\u0161ta u vezi sa zlonamjernim softverom ne ograni\u010dava njegov regionalni opseg.<\/p>\n
Apple i Google su uklonili doti\u010dne aplikacije nakon prijave, ali kampanja je vjerovatno aktivna od po\u010detka 2024. godine i mo\u017eda je jo\u0161 uvijek u toku putem bo\u010dno u\u010ditanih varijanti i prodavnica klonova, upozorili su istra\u017eiva\u010di.<\/p>\n","protected":false},"excerpt":{"rendered":"
Nova prijetnja mobilnog \u0161pijunskog softvera, SparkKitty, prona\u0111ena je u Appleovoj App Store i Google Play prodavnici, preru\u0161ena u kripto-tematske i modifikovane aplikacije. Cilj joj je kra\u0111a slika fraza za sjeme i podataka nov\u010danika. Istra\u017eiva\u010di Kasperskyja upozoravaju da je ova kampanja, nasljednik SparkCat-a, vje\u0161to izbjegla zvani\u010dne prodavnice.<\/p>\n","protected":false},"author":7,"featured_media":15068,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[490],"tags":[50,52,391,65,66],"class_list":["post-15069","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tehnologija","tag-bitcoin","tag-ethereum","tag-euro","tag-kripto","tag-kriptovaluta"],"yoast_head":"\n