Le malware SparkKitty a volé des phrases de récupération de crypto à partir de photos d’iPhone et d’Android

Check Point a publié dimanche une analyse sur SparkKitty, un malware multiplateforme qui s’est infiltré dans l’App Store d’Apple et Google Play, et qui a scanné la bibliothèque photo des utilisateurs afin d’y retrouver des expressions de récupération de portefeuilles de cryptomonnaies à l’aide de la reconnaissance optique de caractères. Kaspersky a découvert le malware début 2024 et l’a détaillé publiquement en juin 2025, l’identifiant comme une évolution directe du voleur SparkCat. Le malware s’est exécuté dans l’application iOS 币coin et l’application Android SOEX, qui a dépassé 10 000 téléchargements sur Google Play avant d’être retirée, bien que ni Check Point ni Kaspersky n’aient publié de chiffres de victimes ni de montants de pertes.

SparkKitty scannait les bibliothèques photo à l’aide de la reconnaissance optique de caractères

Sur iOS, la charge utile était intégrée dans une application de cryptomonnaies appelée 币coin, publiée sur l’App Store, qui dissimulait sa fonctionnalité dans des frameworks obfusqués pour passer l’examen d’Apple. Check Point a indiqué qu’il reste incertain de savoir si ce compte développeur a été compromis ou complice. La version Android est arrivée dans SOEX, une application présentée comme un messager avec des fonctionnalités d’échange de cryptomonnaies, qui a dépassé 10 000 téléchargements sur Google Play avant d’être retirée.

Une fois l’accès à la galerie accordé, SparkKitty surveillait le répertoire d’images et scannait périodiquement son contenu avec des bibliothèques de reconnaissance de texte intégrées, à la recherche de texte lisible dans les captures d’écran : expressions de récupération, mots de passe et codes QR. Tout ce qu’il trouvait était envoyé à un serveur de commande et de contrôle, avec des identifiants d’appareil. Les deux applications officielles de la boutique ont été supprimées, et la liste d’indicateurs publiée par Check Point comporte des entrées datées de juin 2025, aux côtés d’entrées plus récentes d’avril 2026.

Le malware se propage via des boutiques d’applications officielles et des applications modifiées

Des variantes se sont également propagées via des boutiques tierces et des installateurs sideloadés, notamment des clones modifiés de TikTok et des applications de jeux d’argent, et ont utilisé des modules du framework Xposed pour persister sur des appareils rootés. Le chercheur de Kaspersky, Sergey Puzan, a déclaré qu’une version infectée de TikTok intégrait aussi des liens vers une boutique suspecte dans le profil de la victime pendant la connexion.

Check Point a relié la campagne à des techniques incluant l’installation d’une application malveillante via une boutique d’applications autorisée et la collecte de données d’applications stockées. Une autre variante de SparkCat a ensuite été repérée dans des applications iOS et Android en avril 2026, visant les mêmes images contenant des expressions de récupération.

Kaspersky et les chercheurs de Check Point ont détaillé le fonctionnement du malware

« Les attaquants pourraient ensuite tenter de trouver diverses données confidentielles dans les images, par exemple, des expressions de récupération de portefeuilles crypto pour accéder aux actifs des victimes », a déclaré le chercheur de Kaspersky Dmitry Kalinin lors de la divulgation du malware. D’après Check Point et Kaspersky, SparkKitty est une évolution directe de SparkCat, un voleur d’informations antérieur qui scannait déjà les galeries d’images depuis au moins mars 2024.

FAQ

Que faisait le malware SparkKitty sur les appareils iOS et Android ?

SparkKitty scannait les bibliothèques photo des utilisateurs à l’aide de la reconnaissance optique de caractères pour y trouver des expressions de récupération de portefeuilles de cryptomonnaies, des mots de passe et des codes QR stockés dans des captures d’écran, puis envoyait les données à un serveur de commande et de contrôle.

Comment SparkKitty a-t-il atteint l’App Store d’Apple et Google Play ?

Le malware se cachait dans l’application iOS 币coin en utilisant des frameworks obfusqués pour contourner l’examen d’Apple, et dans l’application Android SOEX, présentée comme un messager avec des fonctionnalités d’échange de cryptomonnaies, qui a atteint plus de 10 000 téléchargements sur Google Play avant d’être retirée.