Un nuovo malware, soprannominato “SparkCat”, è stato scoperto con capacità OCR per individuare informazioni sensibili presenti negli screenshot scattati dagli utenti iPhone. Secondo Kaspersky, questo malware è progettato per trovare frasi di recupero dei wallet di criptovalute, permettendo così agli hacker di rubare bitcoin e altre criptovalute.

Come funziona SparkCat?

Il malware è presente in alcune app infette e include un modulo dannoso che sfrutta un plug-in OCR basato sulla libreria ML Kit di Google. Questo permette di riconoscere il testo presente nelle immagini salvate su un iPhone. Se viene rilevata un’immagine contenente informazioni su un wallet crypto, questa viene immediatamente inviata a un server controllato dall’attaccante.

Diffusione e app infette

Kaspersky afferma che SparkCat è attivo almeno da marzo 2024. Un malware simile era stato individuato nel 2023 su dispositivi Android e PC, ma ora si è diffuso anche su iOS. Gli esperti di sicurezza hanno trovato diverse app infette all’interno dell’App Store, tra cui:

• ComeCome
• WeTink
• AnyGPT

Non è chiaro se l’infezione sia stata intenzionale da parte degli sviluppatori o se sia il risultato di un attacco alla supply chain.

Il pericolo per gli utenti iPhone

Le app infette richiedono il permesso di accedere alle foto dell’utente. Se l’accesso viene concesso, il malware utilizza la tecnologia OCR per analizzare le immagini alla ricerca di testo sensibile. Alcune di queste app risultano ancora disponibili sull’App Store e sembrano prendere di mira utenti iOS in Europa e Asia.

Anche se il malware è progettato per rubare informazioni legate alle criptovalute, Kaspersky avverte che potrebbe essere utilizzato anche per accedere ad altri dati sensibili, come password catturate negli screenshot. Dispositivi Android sono anch’essi vulnerabili, con app infette presenti nel Google Play Store, ma gli utenti iOS spesso si aspettano che i loro dispositivi siano più resistenti ai malware.

Una falla nella sicurezza di Apple?

Apple esamina ogni app prima di pubblicarla sull’App Store, quindi la presenza di un’app dannosa indica una falla nel processo di revisione. In questo caso, sembra che il malware non mostri segni evidenti di trojan e le autorizzazioni richieste siano compatibili con le funzioni principali dell’app, rendendo difficile la sua individuazione.

Come proteggersi da SparkCat

Per proteggersi da attacchi simili, Kaspersky consiglia agli utenti di evitare di salvare screenshot contenenti informazioni sensibili, come le frasi di recupero dei wallet crypto, all’interno della galleria fotografica del telefono.

Un elenco completo dei framework iOS infetti e ulteriori dettagli sul malware sono disponibili sul sito di Kaspersky.