サイバーセキュリティ企業Check Pointは、SparkKittyのマルウェアキャンペーンが、不正なAndroidおよびiPhone端末に保存された写真をスキャンし、ウォレットの回復フレーズを狙うことで暗号資産ユーザーを標的にしたと詳述した。2025年6月にKasperskyによって初めて発見されたこのマルウェアは、AppleのApp Store、Google Play、サードパーティのアプリストアを通じて拡散した。キャンペーンは、正規の暗号資産ツール、メッセージングアプリ、エンターテインメントアプリに偽装したトロイ化アプリを配布することで成功し、1つのAndroidバリアントは削除されるまでに10,000回以上ダウンロードされた。マルウェアは、よくあるセキュリティ上の脆弱性を悪用した。すなわち、ユーザーがウォレットのシードフレーズを写真ライブラリにスクリーンショットとして保存していた点である。
SparkKitty Distributed Through Trojanized Apps on Major Platforms
Check Pointによると、SparkKittyがAppleのApp StoreとGoogle Playの両方に存在していたことで、攻撃面が広がったという。iOSでは、マルウェアはAppleのApp Storeで利用可能だった「币coin」という暗号資産アプリ経由で配布された。このアプリは、ユーザーの写真ライブラリへのアクセスを要求する前に、Appleの審査プロセスを回避するために悪意のあるコードを隠していた。Androidでは、マルウェアはSOEXというメッセージングおよび暗号資産取引アプリとして登場し、削除されるまでにGoogle Playから10,000回以上ダウンロードされていた。他のバリアントは、サードパーティのアプリストア、偽のTikTokアプリ、ギャンブルアプリ、サイドロードされたAPK経由で配布された。
Malware Scanned Photo Libraries for Wallet Recovery Phrases
ユーザーが写真ライブラリへのアクセスを許可すると、マルウェアは保存された画像をスキャンしてウォレットの回復フレーズやその他の機密情報を見つけ、そのデータを攻撃者が制御するサーバーにアップロードした。クリップボードの監視やキーロギングに依存することが多い情報窃取型マルウェアとは異なり、SparkKittyはユーザーの写真ライブラリを直接探索し、ウォレットの回復フレーズのスクリーンショットを格好の標的にしていた。SparkKittyの脅威アクターは、正規の暗号資産ツール、メッセージングプラットフォーム、エンターテインメントアプリに偽装したトロイ化アプリを配布しており、ユーザーが疑わずにインストールしてしまう可能性を大幅に高めた。
Researchers Recommend Offline Storage for Wallet Phrases
研究者らは、ウォレットの回復フレーズをスクリーンショットとして保存するのではなくオフラインで保管し、写真ライブラリへの権限を信頼できるアプリに限定し、ソフトウェアは信頼できる開発者のものだけをダウンロードするよう推奨している。Check Pointは、回復フレーズをスクリーンショットとして保存すると、暗号資産が窃取の被害に遭う可能性があると警告した。
Related Malware Campaigns Target Cryptocurrency Users
このレポートは、暗号資産ユーザーを狙うマルウェアキャンペーンの一連の流れに続くものだ。3月、GoogleはDarkSwordのエクスプロイトチェーンを開示し、Ghostbladeマルウェアを投入した。そのマルウェアは、主要な暗号資産取引所やウォレットアプリを標的にできる一方で、脆弱なiPhoneからメッセージ、パスワード、写真、その他のデータを盗み取る能力を持つ。同じ月、FBIは、ValveのSteamプラットフォーム経由で配布された複数のゲーム――「Chemia」「PirateFi」「Tokenova」――からマルウェアがインストールされることが判明したとして調査を開始した。5月には、AIスタートアップのPerplexityがBumblebeeをオープンソース化した。これは、ソフトウェアサプライチェーン攻撃の影響で160以上の開発者パッケージに被害が及んだ後、潜在的に悪意のあるコードを実行せずに、侵害されたソフトウェアパッケージ、ブラウザ拡張機能、AIコネクタ設定を検出するためのセキュリティツールだ。6月には、Kasperskyが、攻撃者がSteam Workshopを使って、アニメ風のデスクトップ壁紙に偽装した悪意のあるWallpaper Engineのダウンロードを配布していたと報告した。このキャンペーンでは、LummaとVidarのインフォスティーラーが投入されており、これらはブラウザの認証情報や暗号資産ウォレットデータを盗むために一般的に使用されるマルウェアだ。
FAQ
SparkKittyのマルウェアとは何で、暗号資産ユーザーをどのように狙うのですか？
SparkKittyは、2025年6月にKasperskyによって発見されたマルウェアで、ユーザーの写真ライブラリをスキャンして暗号資産ウォレットのシードフレーズやその他の機密情報を探す。AppleのApp Store、Google Play、サードパーティのアプリストア上で、正規の暗号資産ツール、メッセージングプラットフォーム、エンターテインメントアプリに偽装したトロイ化アプリを通じて配布された。
SparkKittyのAndroidアプリは、削除されるまでに何回ダウンロードされましたか？
メッセージングおよび暗号資産取引アプリとして登場したSOEXというAndroidバリアントは、削除されるまでにGoogle Playから10,000回以上ダウンロードされた。
研究者らは、ウォレットの回復フレーズを守るためにどのようなセキュリティ対策を推奨していますか？
研究者らは、ウォレットの回復フレーズをスクリーンショットとして保存するのではなくオフラインで保管し、写真ライブラリへの権限を信頼できるアプリに限定し、ソフトウェアは信頼できる開発者のものだけをダウンロードすることを推奨している。
