网络安全公司Check Point发布最新报告，详细披露了名为SparkKitty的恶意软件活动。该恶意软件通过扫描存储在受感染安卓和iPhone设备上的照片，窃取加密货币钱包恢复短语及其他敏感信息。该活动最早于2025年6月由卡巴斯基发现，Check Point的分析进一步揭示了其传播方式：通过苹果App Store、Google Play以及第三方应用商店广泛扩散。
“SparkKitty特别值得关注的是，它同时出现在苹果App Store和Google Play上，攻击面非常广泛，”Check Point在报告中写道。“背后的威胁行为者将特洛伊木马化的应用程序伪装成合法的加密货币工具、即时通讯平台甚至娱乐应用，大大增加了不知情用户安装的可能性。”一旦用户授权访问其照片库，恶意软件便会扫描存储的图片，寻找钱包恢复短语等敏感信息，并将数据上传至攻击者控制的服务器。
在iOS平台上，SparkKitty通过一款名为“币coin”的加密货币应用传播，该应用曾上架苹果App Store。Check Point表示，该应用将恶意代码隐藏起来，以规避苹果的审核流程，随后请求访问用户的照片库。在安卓平台上，恶意软件出现在一款名为SOEX的即时通讯与加密货币交易应用中，该应用在Google Play上被下载超过1万次后才被移除。其他变种则通过第三方应用商店、虚假TikTok应用、赌博应用以及侧载的APK文件传播。
与许多依赖剪贴板监控或键盘记录的信息窃取器不同，SparkKitty直接搜索用户的照片库，使得钱包恢复短语的截图成为首要目标。研究人员建议将钱包恢复短语离线保存，而不是以截图形式存储在手机中；同时限制照片库权限仅授予可信应用，并仅从信誉良好的开发者处下载软件。
这份报告是近期一系列针对加密货币用户恶意软件活动的最新一例。今年3月，谷歌披露了DarkSword漏洞利用链，该链部署了Ghostblade恶意软件，能够针对主流加密货币交易所和钱包应用，并窃取受感染iPhone上的消息、密码、照片及其他数据。同月，FBI对Valve旗下Steam平台分发的多款游戏（包括“Chemia”、“PirateFi”和“Tokenova”）展开调查，发现这些游戏会安装恶意软件。5月，AI初创公司Perplexity开源了安全工具Bumblebee，旨在检测被篡改的软件包、浏览器扩展和AI连接器配置，而无需执行潜在恶意代码，此前一次软件供应链攻击影响了超过160个开发者软件包。6月，卡巴斯基报告称，攻击者利用Steam Workshop分发伪装成动漫主题桌面壁纸的恶意Wallpaper Engine下载，该活动部署了Lumma和Vidar信息窃取器，常用于窃取浏览器凭证和加密货币钱包数据。