SparkKittyがモバイルの写真ギャラリーを監視、機密画像をC2サーバーへ窃取

SparkKittyは、AndroidとiOSの両方でユーザーの写真ギャラリーを悪用するクロスプラットフォームのモバイル情報窃取型マルウェアです。OCRを使って画像から機密性の高いテキストを抽出し、攻撃者が管理するC2サーバーへひそかに送信します。

SparkCatの後継とみられるこのマルウェアは、暗号資産ウォレットのシードフレーズを狙うよう調整されていますが、無差別に写真を窃取する性質により、金銭的な窃盗から恐喝まで悪用の幅が大きく広がっています。

アンチマルウェアソフトウェア

研究者らは、同一の脅威アクターがインフラとコードパターンを使い回している様子を観測しており、SparkKittyはまったく新しいマルウェアファミリーではなく、SparkCatの進化系であることを強く示唆しています。

SparkCatが復元フレーズらしきものを含む画像を選別してアップロードしていたのに対し、SparkKittyはギャラリー全体を根こそぎ窃取する方向へとシフトしています。一部のビルドでは依然としてOCRフィルターを使い、テキストの多いスクリーンショットを優先的に狙う仕組みが残っています。

SparkKittyの運用者は主に中国と東南アジアのユーザーを標的としており、モバイルウォレットや取引所、グレーマーケットの金融アプリを使う暗号資産に精通したユーザーに照準を合わせています。

しかし、このマルウェアはApple App StoreとGoogle Playの両方に到達していたため、不正アプリが削除されるまでの間、その影響範囲は地域の枠をはるかに超えて広がっていました。

iOS版では、SparkKittyは「币coin」というブランド名の暗号資産関連アプリに組み込まれ、正規のApp Store経由で配布され、正当なウォレットあるいはポートフォリオ管理ツールを装っていました。

このアプリは宣伝どおりの機能を実際に提供することで前向きな信頼シグナルを維持する一方、AFNetworkingやlibswiftDarwinに似た一見無害なライブラリの内部に隠されたフレームワークが、ひそかにC2通信やギャラリーへのアクセスを担っていました。

SparkCatの悪意あるフレームワークで使われていたものと似た難読化技術(深くネストされたObjective-Cコードやサードパーティ製に見えるモジュールなど)により、このペイロードはAppleの静的・動的検査を回避することができました。

Android版では、Kasperskyが「SOEX」という広く配布されたアプリをGoogle Play上で確認しました。このアプリはメッセージング・暗号資産取引クライアントを装っており、削除されるまでに1万件以上のインストール数を記録していました。

Kasperskyは2025年6月のレポートでSparkKittyについて初めて詳細に報告し、2024年初めに発見されたSparkCatキャンペーンに端を発する、OCRベースのモバイル情報窃取マルウェアという大きな潮流の一部と位置付けています。

iOS版と同様、SOEXは実際に機能するチャット・取引アプリとして動作しながら、裏では端末のメディアストレージにひそかにアクセスし、ギャラリーの変更を監視して、画像と端末識別情報を攻撃者のサーバーへアップロードしていました。

SparkKittyマルウェア

その他のSparkKittyビルドは、サードパーティのマーケットプレイスやサイドロードされたAPK経由でも拡散しており、トロイの木馬化されたTikTokクローン、ギャンブルプラットフォーム、詐欺サイトで人気のアプリなどが含まれます。一部のバージョンはXposedフレームワークに組み込まれ、root化された端末で高度な永続化を実現していました。

インストールされて写真へのアクセス権限が付与されると、SparkKittyは写真ギャラリーを継続的に監視し、既存の画像と新たに追加された画像を定期的にスキャンします。

複数の亜種は、多くの場合Google ML Kitをベースにしたエンジンを組み込んでおり、SparkCatのアーキテクチャを踏襲する形で、スクリーンショット、設定画面の写真、QRコードのキャプチャ内のテキストを検出します。

認識されたテキストは、攻撃者が用意したルールセットと照合され、ニーモニックフレーズ、復元用の単語、バックアップコード、その他暗号資産ウォレットや二要素認証のバックアップ画面に典型的に見られる機密情報が抽出されます。

最も攻撃的な設定では、このマルウェアはフィルターで絞り込んだ画像だけでなく、アクセス可能なギャラリー内のすべての画像を、端末のモデル、OSバージョン、ロケール、アプリ識別子といった端末メタデータとともにアップロードします。

これにより、運用者は後から手作業で選別するための元データと、被害者をプロファイリングするための豊富な情報の両方を手に入れることになります。機密性の高い個人的な写真が見つかった場合、その後の詐欺、アカウント乗っ取り、恐喝キャンペーンにつながる恐れがあります。

OCRロジックの共有、言語対応のテキストモデル、類似したC2の挙動といった技術的な重なりから、SparkKittyは以前のSparkCat情報窃取マルウェアと直接結びついていることが分かります。SparkCatは、2024年初頭にApp StoreとGoogle Playのアプリで確認され、Kasperskyによってios上で初めて確認されたOCRベースの暗号資産窃取マルウェアとされています。

両ファミリーとも、画像からの機械学習主導のテキスト抽出と、機密情報候補に対するルールセットベースのフィルタリングに依存しています。これは、モバイル情報窃取マルウェアがキーロガーやクリップボードハイジャッカーから、スクリーンショットを中心としたデータ窃取へと軸足を移していることを浮き彫りにしています。

コンピューターサイエンス

Kasperskyによると、SparkKittyとSparkCatは2025年に確認された中でも最も顕著なモバイル脅威の一つであり、スマートフォンを狙う攻撃全体の急増に拍車をかけました。

AppleとGoogleの両社が、すでに公式ストア内に紛れ込んでいたギャラリー中心型マルウェアへの対応を迫られている今、SparkKittyは、シードフレーズやパスワード、QRコードのスクリーンショットという形で写真として機密情報を保存することが、もはや「安全」な利便性ではなく、現代のモバイル脅威アクターにとって直接的な攻撃対象になっていることを如実に証明しています。

IOC(侵害指標)

注: IPアドレスとドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

2026年にAI SOCが備えるべき機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード