Nova varijanta mobilnog \u0161pijunskog softvera, nazvana SparkKitty, infiltrirala se u Appleovu App Store i Google Play, predstavljaju\u0107i se kao aplikacije vezane za kriptovalute i modifikovane aplikacije kako bi prikriveno izvukla slike fraza za oporavak (seed phrases) i akreditiva nov\u010danika.<\/p>\n
Ovaj zlonamjerni softver izgleda predstavlja nasljednika SparkCat kampanje, prvi put otkrivene po\u010detkom 2025. godine, koja je koristila la\u017ene module za podr\u0161ku \u0107askanja kako bi neprimjetno pristupila korisni\u010dkim galerijama i ukrala osjetljive snimke ekrana.<\/p>\n
SparkKitty ovu strategiju podi\u017ee nekoliko stepenica dalje, kako su naveli istra\u017eiva\u010di Kasperskyja u objavi od ponedjeljka.<\/p>\n
Za razliku od SparkCat-a, koji se uglavnom \u0161irio putem nezvani\u010dnih Android paketa, SparkKitty je potvr\u0111en unutar vi\u0161e iOS i Android aplikacija dostupnih putem zvani\u010dnih prodavnica, uklju\u010duju\u0107i aplikaciju za razmjenu poruka sa funkcijama kripto mjenja\u010dnice (sa preko 10.000 instalacija na Google Play) i iOS aplikaciju nazvanu \u201c\u5e01coin\u201d, preru\u0161enu kao portfolio tracker.<\/p>\n
U srcu iOS varijante nalazi se naoru\u017eana verzija AFNetworking ili Alamofire frameworka, gdje su napada\u010di ugradili prilago\u0111enu klasu koja se automatski pokre\u0107e prilikom pokretanja aplikacije koriste\u0107i Objective-C-jev +load selector.<\/p>\n
Pri pokretanju, provjerava skrivenu konfiguracijsku vrijednost, dohva\u0107a adresu komandno-kontrolnog servera (C2) i skenira korisni\u010dku galeriju te po\u010dinje u\u010ditavati slike. C2 adresa nala\u017ee zlonamjernom softveru \u0161ta treba da radi, kao \u0161to je kada da ukrade podatke ili po\u0161alje datoteke, te prima ukradene informacije nazad.<\/p>\n
Android varijanta koristi modifikovane Java biblioteke kako bi postigla isti cilj. Opti\u010dko prepoznavanje karaktera (OCR) se primjenjuje putem Google ML Kita za analizu slika. Ako se otkrije fraza za oporavak ili privatni klju\u010d, datoteka se ozna\u010dava i \u0161alje na servere napada\u010da.<\/p>\n
Instalacija na iOS vr\u0161i se putem profila za upravljanje preduze\u0107ima, ili metodom namijenjenom za interne preduzetni\u010dke aplikacije, ali koja se \u010desto zloupotrebljava za zlonamjerni softver.<\/p>\n
\u017drtve se navode da ru\u010dno povjere certifikat programera povezan sa \u201cSINOPEC SABIC Tianjin Petrochemical Co. Ltd.\u201d, daju\u0107i SparkKitty-ju dozvole na nivou sistema.<\/p>\n
Nekoliko C2 adresa koristilo je AES-256 enkripcijski \u0161ifrovane konfiguracijske datoteke hostovane na zamaglenim serverima.<\/p>\n
Nakon de\u0161ifrovanja, one ukazuju na servere za preuzimanje tereta (payload fetchers) i krajnje ta\u010dke, kao \u0161to su \/api\/putImages i \/api\/getImageStatus, gdje aplikacija odre\u0111uje da li \u0107e u\u010ditati ili odgoditi prijenos fotografija.<\/p>\n
Istra\u017eiva\u010di Kasperskyja otkrili su druge verzije zlonamjernog softvera koje koriste la\u017enu OpenSSL biblioteku (libcrypto.dylib) sa zamagljenom logikom inicijalizacije, \u0161to ukazuje na alatke koje se razvijaju i vi\u0161estruke vektore distribucije.<\/p>\n
Dok ve\u0107ina aplikacija cilja korisnike u Kini i jugoisto\u010dnoj Aziji, ni\u0161ta u vezi sa zlonamjernim softverom ne ograni\u010dava njegov regionalni opseg.<\/p>\n
Apple i Google uklonili su doti\u010dne aplikacije nakon prijave, ali je kampanja vjerovatno aktivna od po\u010detka 2024. godine i mo\u017eda je jo\u0161 uvijek u toku putem varijanti u\u010ditanih sa strane i kloniranih prodavnica, upozorili su istra\u017eiva\u010di.<\/p>\n","protected":false},"excerpt":{"rendered":"
Nova prijetnja: SparkKitty \u0161pijunski softver<\/p>\n
Nova prijetnja, SparkKitty, uvukla se u App Store i Google Play, preru\u0161ena kao aplikacije vezane za kripto. Cilj joj je kra\u0111a seed fraza i podataka nov\u010danika. Ovaj \u0161pijunski softver nastavlja strategiju prethodnika, SparkCat, i predstavlja zna\u010dajnu opasnost.<\/p>\n","protected":false},"author":7,"featured_media":15145,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[490],"tags":[50,52,391,65,66],"class_list":["post-15146","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tehnologija","tag-bitcoin","tag-ethereum","tag-euro","tag-kripto","tag-kriptovaluta"],"yoast_head":"\n