App Storeとグーグルプレイで新種マルウエア拡散　暗号資産の復旧フレーズ窃取

暗号資産ユーザーを狙う新種のマルウエア「スパークキティ（SparkKitty）」が、アップルのApp Storeやグーグルプレイで配布されていたことが分かった。

暗号資産専門メディアのザ・ブロックが7月27日に報じた。サイバーセキュリティー企業のチェック・ポイント（Check Point）は同日公表した報告書で、スパークキティがApp Store、グーグルプレイ、第三者運営のアンドロイド向けアプリ市場など複数の経路で拡散したと明らかにした。このマルウエアは光学式文字認識（OCR）技術を使って感染端末内の画像をスキャンし、暗号資産ウォレットの復旧フレーズ（シードフレーズ）を抜き出す。

チェック・ポイントは、スパークキティについて、既存の情報窃取型マルウエア「スパークキャット（SparkCat）」の進化形とみられると説明した。スパークキャットもOCRを使い、スクリーンショットからデータを収集していた。

このマルウエアは、暗号資産サービスやメッセージングプラットフォーム、娯楽アプリを装ったアプリに潜ませる形で配布された。インストール後に写真ライブラリーへのアクセス権限を求め、端末に保存済みの画像に加え、その後に追加された画像も継続的にスキャンする。抽出したウォレットの復旧フレーズやパスワード、QRコードのデータは、端末の基本情報とともにハッカーが管理するサーバーに送信される。

iOSでは、App Storeに登録された「币coin」という名称の暗号資産関連アプリにマルウエアが埋め込まれていた。アンドロイドでは、メッセージングおよび暗号資産取引プラットフォームを装った「SOEX」アプリでスパークキティが見つかった。グーグルプレイから削除されるまでに、1万件超がダウンロードされたという。

チェック・ポイントは「復旧フレーズさえあれば、ウォレットに完全にアクセスできる」と警告した。そのうえで、復旧フレーズをスクリーンショットや写真で保存している暗号資産ユーザーが、最も大きな被害リスクにさらされていると強調した。