Uma campanha de spyware móvel conhecida como SparkKitty voltou a chamar a atenção depois que relatórios alertaram que aplicativos infectados para iOS e Android podem expor frases de recuperação de carteiras de criptomoedas armazenadas nas galerias dos telefones.
Resumo
- O SparkKitty rouba imagens da galeria, procurando frases-semente de carteiras, senhas e outras informações sensíveis armazenadas digitalmente.
- Aplicativos maliciosos para iOS e Android chegaram às lojas oficiais, enquanto versões sideloaded expandiram ainda mais a campanha.
- Pesquisadores aconselham armazenamento offline de sementes, permissões limitadas de fotos e migração imediata da carteira após suspeita de exposição.
O malware obtém acesso às fotos, coleta imagens e as envia para servidores controlados pelos atacantes.
No entanto, esta não é uma ameaça recém-descoberta de julho de 2026. A Kaspersky publicou um relatório técnico em 23 de junho de 2025, depois de encontrar o SparkKitty na App Store da Apple, no Google Play e em canais não oficiais. Um artigo recente da Cyberint renovou a atenção em torno da mesma família de malware.
A campanha do SparkKitty remonta a 2024
A Kaspersky associou o SparkKitty ao SparkCat, um ladrão móvel anterior que usava reconhecimento óptico de caracteres para procurar frases-semente de carteiras em capturas de tela. O SparkKitty usava métodos de distribuição relacionados, mas muitas amostras enviavam imagens da galeria em vez de selecionar apenas arquivos contendo palavras de recuperação.
Os pesquisadores também encontraram um cluster relacionado que usava OCR para escolher imagens específicas. O malware pode, portanto, expor senhas, documentos de identidade e códigos QR. A Kaspersky disse que "acredita" que o objetivo principal envolvia ativos de criptomoedas, observando que algumas amostras não tinham prova direta.
A campanha operava desde pelo menos fevereiro de 2024 e visava principalmente o Sudeste Asiático e a China. Como o crypto.news noticiou em junho de 2025, ela se espalhou por ferramentas falsas de criptomoedas, aplicativos sociais modificados, produtos de jogos de azar e outros aplicativos.
Em abril de 2026, a Kaspersky relatou uma nova variante do SparkCat em dois aplicativos da App Store e um aplicativo do Google Play. Essa descoberta mostrou o uso contínuo de roubo de galeria baseado em OCR, mas não confirmou que o próprio SparkKitty havia retornado.
O malware usa permissões de fotos para roubar dados
No iOS, os pesquisadores encontraram código malicioso dentro de frameworks modificados que imitavam bibliotecas de desenvolvimento comuns, incluindo AFNetworking e Alamofire. Outras versões escondiam o payload em um arquivo ofuscado chamado libswiftDarwin.dylib ou o colocavam diretamente dentro de um aplicativo.
Essa abordagem difere de malware que registra teclas ou substitui endereços de carteira copiados. Como o crypto.news noticiou em junho de 2026, a Microsoft rastreou um malware clipper separado que monitorava a área de transferência, roubava credenciais de carteira e suportava comandos de backdoor.
Aplicativos infectados chegaram às lojas oficiais
A Kaspersky encontrou um aplicativo de mensagens Android com funções de troca de criptomoedas no Google Play. O aplicativo, chamado SOEX, registrou mais de 10.000 instalações antes que o Google o removesse após receber o relatório do pesquisador.
A equipe também encontrou um aplicativo de criptomoedas para iOS chamado 币coin na App Store da Apple. A Kaspersky alertou a Apple e atualizou seu relatório em 25 de junho de 2025, para dizer que a Apple havia removido o aplicativo. Os pesquisadores não determinaram se os desenvolvedores adicionaram o malware conscientemente.
Outras versões se espalharam por sites falsos, aplicativos TikTok modificados, produtos de apostas e pacotes Android instalados diretamente. Algumas campanhas do iPhone abusaram de ferramentas de provisionamento empresarial, que permitem que organizações distribuam aplicativos internos fora da App Store pública.
Os relatórios mais recentes não estabelecem que os aplicativos nomeados retornaram às lojas oficiais em julho de 2026. Também não fornecem número confirmado de vítimas ou perdas totais em criptomoedas. As listagens originais foram removidas, enquanto cópias sideloaded ainda podem circular.
Armazenamento offline da seed continua sendo a principal defesa
Uma frase-semente geralmente contém 12 ou 24 palavras que podem restaurar todas as chaves privadas vinculadas a uma carteira de autocustódia. Qualquer pessoa que obtenha essas palavras pode recriar a carteira e transferir seus ativos. Alterar a senha do aplicativo não pode proteger uma frase de recuperação exposta.
Os usuários não devem manter frases-semente em capturas de tela, álbuns de nuvem, rascunhos de e-mail ou aplicativos de notas. O guia de carteiras de 2026 do crypto.news recomenda escrever a frase em papel ou gravá-la em metal e, em seguida, armazená-la offline com segurança.
Os usuários devem revisar as permissões de fotos e remover o acesso de aplicativos que não precisam delas. Devem evitar lojas não oficiais, aplicativos modificados e links de download desconhecidos. Uma listagem oficial reduz alguns riscos, mas não elimina a necessidade de verificar o desenvolvedor e as permissões solicitadas.
Qualquer pessoa que acredite que o SparkKitty expôs uma frase-semente deve criar uma nova carteira em um dispositivo limpo e mover os ativos restantes imediatamente. O usuário deve então remover o aplicativo suspeito, atualizar o dispositivo e rotacionar as credenciais armazenadas em imagens da galeria.
Os relatórios atuais renovaram o aviso sobre o SparkKitty, mas o registro técnico público rastreia a campanha até a divulgação da Kaspersky em 2025, em vez de uma nova descoberta em julho de 2026.
