O malware SparkKitty roubou frases de recuperação de criptomoedas de fotografias tiradas com iPhones e Android.

A Check Point publicou no domingo uma análise sobre o SparkKitty, um malware multiplataforma que se infiltrou na App Store da Apple e no Google Play e que fez varrimento das bibliotecas de fotos dos utilizadores para encontrar frases de recuperação de carteiras de criptomoeda, usando reconhecimento ótico de caracteres. A Kaspersky descobriu o malware no início de 2024 e descreveu-o publicamente em Junho de 2025, identificando-o como uma evolução direta do malware ladrão SparkCat. O malware operava dentro da app iOS 币coin e da app Android SOEX, que ultrapassou 10.000 transferências no Google Play antes de ser removida, embora nem a Check Point nem a Kaspersky tenham publicado contagens de vítimas ou valores de perdas.

SparkKitty Scanned Photo Libraries Using Optical Character Recognition

No iOS, a carga útil estava dentro de uma aplicação de criptomoeda chamada 币coin, publicada na App Store, que escondia a sua funcionalidade em frameworks ofuscados para contornar a avaliação da Apple. A Check Point afirmou que continua sem saber se aquela conta de programador foi comprometida ou se houve cumplicidade. A versão para Android chegou em SOEX, uma aplicação apresentada como mensageiro com funcionalidades de câmbio de criptomoedas, que atingiu mais de 10.000 transferências no Google Play antes de ser retirada.

Depois de obter acesso à galeria, o SparkKitty monitorizava o diretório de imagens e, periodicamente, fazia varrimento do conteúdo com bibliotecas de reconhecimento de texto incorporadas, à procura de texto legível em capturas de ecrã: frases de recuperação, palavras-passe e códigos QR. Tudo o que encontrava era enviado para um servidor de comando e controlo juntamente com identificadores do dispositivo. Ambas as apps oficiais da loja foram removidas, e a lista de indicadores publicada pela Check Point inclui entradas datadas de Junho de 2025, juntamente com outras mais recentes de Abril de 2026.

Malware Spread Through Official App Stores and Modified Applications

As variantes também se espalharam através de lojas externas e instaladores carregados à parte (sideloaded), incluindo clones modificados de TikTok e aplicações de jogos, e usaram módulos da estrutura Xposed para persistirem em dispositivos com root. O investigador da Kaspersky Sergey Puzan disse que uma versão infetada do TikTok também incorporava ligações para uma loja suspeita no perfil da vítima durante o início de sessão.

A Check Point mapeou a campanha para técnicas que incluíam entregar uma aplicação maliciosa através de uma loja de aplicações autorizada e recolher dados de aplicações armazenados. Uma variante adicional do SparkCat surgiu mais tarde em aplicações iOS e Android em Abril de 2026, procurando as mesmas imagens com frases de recuperação.

Kaspersky and Check Point Researchers Detailed Malware Operation

“Os atacantes podem mais tarde tentar encontrar vários dados confidenciais nas imagens, por exemplo, frases de recuperação de carteiras cripto para aceder aos ativos das vítimas”, disse o investigador da Kaspersky Dmitry Kalinin aquando da divulgação do malware. De acordo com a Check Point e a Kaspersky, o SparkKitty é uma evolução direta do SparkCat, um ladrão de informação anterior que fez varrimento de galerias de imagens desde pelo menos Março de 2024.

FAQ

O que fez o malware SparkKitty em dispositivos iOS e Android?

O SparkKitty fez varrimento das bibliotecas de fotos dos utilizadores usando reconhecimento ótico de caracteres para encontrar frases de recuperação de carteiras de criptomoeda, palavras-passe e códigos QR guardados em capturas de ecrã; depois enviou os dados para um servidor de comando e controlo.

Como é que o SparkKitty chegou à App Store da Apple e ao Google Play?

O malware ocultou-se na app iOS 币coin usando frameworks ofuscados para contornar a avaliação da Apple e na app Android SOEX, que foi apresentada como mensageiro com funcionalidades de câmbio de criptomoedas e que atingiu mais de 10.000 transferências no Google Play antes da remoção.