Kaspersky(カスペルスキー)の研究者らは、仮想通貨・ギャンブル・TikTokをテーマにした改ざんアプリを通じてAndroidおよびiOSユーザーを狙う、クロスプラットフォームのモバイルスパイウェアキャンペーン「SparkKitty」を発見しました。
このマルウェアは写真とデバイス情報を窃取するもので、攻撃者は画像ギャラリーに保存された仮想通貨ウォレットのリカバリーフレーズやパスワード、その他の機密情報を探していると見られています。
SparkKittyは少なくとも2024年2月から活動しており、以前のSparkCatキャンペーンと関連があると見られています。
両者の脅威はいずれも、それ以外の点では正常に機能するアプリケーション内部に悪意あるコンポーネントを隠すという手法を用いており、脅威アクターが非公式のダウンロードサイトだけでなく信頼された配布チャネルまでも悪用しうることを示しています。
iOSでは、Kasperskyは「币coin」という名称の仮想通貨関連アプリケーション内にSparkKittyを確認しました。このアプリはApple(アップル)のApp Storeで配布されていましたが、その後削除されています。
研究者らはまた、App Storeを装ったフィッシングページを通じて配布される、悪意あるTikTokおよびギャンブルアプリの亜種も発見しました。
これらのページは被害者に対して開発者用プロビジョニングプロファイルのインストールを指示するもので、これによって悪意あるアプリがAppleの通常のApp Store配布モデルの枠外で動作できるようになっていました。
偽のTikTokアプリには、仮想通貨決済のみを受け付ける不審なショッピングプラットフォームへのリンクが埋め込まれていました。
さらに重要な点として、iOS版の亜種は被害者の写真ライブラリへのアクセス権限を要求していました。これはTikTokクローンとしては異例の権限要求です。
Kasperskyは、AFNetworking.frameworkやAlamofire.frameworkといった正規のフレームワークを装った悪意あるモジュールに加え、libswiftDarwin.dylibのような名称を用いて難読化されたライブラリも発見しています。
この悪意あるiOSフレームワークは、自動実行されるObjective-CのloadメソッドによってスパイウェアとしてのB機能を起動していました。
同フレームワークは暗号化された設定データを取得し、コマンド&コントロール(C2)アドレスを復号した上で、攻撃者が制御するサーバーに接続して認可を得て、アクセス可能なギャラリー内の画像をアプリ情報・デバイス情報・固有のユーザー情報とともにアップロードしていました。
Androidユーザーは、Google Play、サードパーティのウェブサイト、そして直接ダウンロード可能なAPKファイルを通じて標的にされていました。
確認されたアプリの一つ「SOEX」は、仮想通貨取引機能を備えたメッセンジャーを謳っており、Google Playでのダウンロード数は1万件を超えていましたが、Kasperskyからの通報を受けてGoogleが削除しました。
その他のAndroid版亜種は、仮想通貨投資サービスやカジノアプリケーション、改造版TikTokパッケージとして宣伝されていました。
一部のサンプルはJavaで実装されていた一方、Kotlinベースの亜種は悪意あるXposedまたはLSPosedモジュールとして動作し、アプリケーションの実行パスにフックできるようになっていました。
SparkKittyの主な機能はギャラリーからの情報窃取です。権限を取得した後、このマルウェアは感染デバイス上の写真を監視・アクセスし、C2インフラへ送信します。
観測された亜種の多くは、特定のファイルのみを選別するのではなく、アクセス可能なすべての画像を窃取しており、仮想通貨の窃取にとどまらない広範なプライバシー・セキュリティリスクを生じさせていると、cyberintは指摘しています。
Kasperskyが特定した関連の活動クラスターでは、Google ML KitのOCR(光学文字認識)機能を用いてJPEGおよびPNGファイルを検査していました。このコードは画像内のテキストを検索し、選定基準に合致した画像をアップロードしていました。
この挙動はSparkCatがOCRを用いて仮想通貨のリカバリーフレーズを探索していたことと類似していますが、研究者らは、SparkKittyのサンプル全体を通じて主に観測された挙動はOCRによる絞り込みではなく、無差別な画像窃取であったと指摘しています。
ANY.RUNでSOC調査の死角をなくし、脅威を早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/sparkkitty-targets-crypto-wallets/
