Uma nova cepa de malware chamada SparkKitty foi encontrada à espreita tanto na App Store da Apple quanto na Google Play Store. Ela rouba frases-semente de criptomoedas ao escanear fotos armazenadas nos dispositivos dos usuários. A descoberta destaca um ponto cego persistente na segurança de aplicativos móveis — mesmo lojas oficiais podem hospedar códigos maliciosos.
Como o SparkKitty funciona
O SparkKitty opera silenciosamente. Uma vez instalado, ele vasculha a biblioteca de fotos do dispositivo em busca de imagens que contenham frases-semente — as chaves de 12 ou 24 palavras usadas para recuperar carteiras de criptomoedas. Se encontrar uma, ele exfiltra a frase para um servidor remoto. O atacante pode então drenar qualquer carteira vinculada a essa semente. O malware não precisa enganar o usuário para digitar nada; ele apenas lê o que já está no telefone.
O problema das lojas de aplicativos
Tanto a Apple quanto o Google realizam revisões automatizadas e manuais antes de aprovar aplicativos. O malware SparkKitty passou por elas. Isso não é inédito — aplicativos maliciosos escapam a cada poucos meses — mas é um lembrete de que a verificação das lojas não é infalível. O malware provavelmente escondeu seu comportamento malicioso por trás de funcionalidades de aparência legítima, ativando o código malicioso apenas após a instalação. Nenhuma das empresas divulgou quantos aplicativos foram afetados ou por quanto tempo o SparkKitty esteve disponível para download.
O que os usuários devem fazer
Se você armazena frases-semente como capturas de tela ou fotos, pare. Exclua-as. Escreva-as em papel e guarde esse papel em um local seguro. Melhor ainda, use uma carteira de hardware que nunca exponha a semente a um dispositivo conectado à internet. A frase-semente mais segura é aquela que nenhum aplicativo pode ler.
Espera-se que a Apple e o Google removam os aplicativos ofensivos, mas o dano já pode estar feito. Usuários que baixaram qualquer aplicativo que carregasse o SparkKitty devem presumir que suas fotos — e quaisquer frases-semente nelas — estão comprometidas. A questão maior: quantas carteiras foram drenadas antes que alguém percebesse? Esse número ainda não é público, e talvez nunca seja.
