Se ha descubierto una nueva cepa de malware llamada SparkKitty tanto en la App Store de Apple como en Google Play Store. Roba frases semilla de criptomonedas escaneando las fotos almacenadas en los dispositivos de los usuarios. Este hallazgo pone de relieve un punto ciego persistente en la seguridad de las aplicaciones móviles: incluso las tiendas oficiales pueden alojar código malicioso.
Cómo funciona SparkKitty
SparkKitty opera de forma silenciosa. Una vez instalado, examina la biblioteca de fotos del dispositivo en busca de imágenes que contengan frases semilla, las claves de 12 o 24 palabras que se usan para recuperar billeteras de criptomonedas. Si encuentra una, exfiltra la frase a un servidor remoto. El atacante puede entonces vaciar cualquier billetera vinculada a esa semilla. El malware no necesita engañar al usuario para que escriba nada; simplemente lee lo que ya está en el teléfono.
El problema de las tiendas de aplicaciones
Tanto Apple como Google realizan revisiones automáticas y manuales antes de aprobar aplicaciones. SparkKitty logró evadirlas. No es la primera vez — cada pocos meses se cuelan aplicaciones maliciosas — pero es un recordatorio de que la verificación de las tiendas no es infalible. Es probable que el malware ocultara su comportamiento de escaneo tras funciones de apariencia legítima, activando el código malicioso solo después de la instalación. Ninguna de las dos compañías ha revelado cuántas aplicaciones se vieron afectadas ni durante cuánto tiempo SparkKitty estuvo disponible para descarga.
Qué deben hacer los usuarios
Si guardas frases semilla como capturas de pantalla o fotos, deja de hacerlo. Bórralas. Escríbelas en papel y guarda ese papel en un lugar seguro. Mejor aún, usa una billetera física (hardware wallet) que nunca exponga la semilla a un dispositivo conectado a internet. La frase semilla más segura es aquella que ninguna aplicación puede leer.
Se espera que Apple y Google eliminen las aplicaciones infractoras, pero el daño ya puede estar hecho. Los usuarios que descargaron alguna aplicación que contenía SparkKitty deben asumir que sus fotos — y cualquier frase semilla en ellas — están comprometidas. La pregunta más importante: ¿cuántas billeteras fueron vaciadas antes de que alguien lo notara? Ese número aún no es público, y quizás nunca lo sea.
