Новий штам шкідливого ПЗ під назвою SparkKitty виявлено як у Apple App Store, так і в Google Play Store. Він викрадає сид-фрази криптовалют, скануючи фотографії, що зберігаються на пристроях користувачів. Це відкриття підкреслює постійну вразливість у безпеці мобільних додатків — навіть офіційні магазини можуть містити шкідливий код.
Як працює SparkKitty
SparkKitty діє непомітно. Після встановлення він переглядає бібліотеку фотографій пристрою в пошуках зображень, що містять сид-фрази — ключі з 12 або 24 слів, які використовуються для відновлення криптогаманців. Якщо така фраза знайдена, вона викрадається на віддалений сервер. Зловмисник може потім спустошити будь-який гаманець, пов'язаний із цією сид-фразою. Шкідливе ПЗ не потребує, щоб користувач вводив щось; воно просто зчитує те, що вже є на телефоні.
Проблема магазинів додатків
Як Apple, так і Google проводять автоматичну та ручну перевірку перед затвердженням додатків. SparkKitty зумів обійти їх. Це не вперше — шкідливі додатки прослизають кожні кілька місяців, — але це нагадування, що перевірка магазинів не є абсолютно надійною. Імовірно, шкідливе ПЗ приховувало свою сканувальну поведінку за легітимними функціями, активуючи шкідливий код лише після встановлення. Жодна з компаній не розкрила, скільки додатків було уражено або як довго SparkKitty був доступний для завантаження.
Що робити користувачам
Якщо ви зберігаєте сид-фрази у вигляді скріншотів або фотографій, припиніть це робити. Видаліть їх. Запишіть їх на папір і зберігайте в безпечному місці. Ще краще — використовуйте апаратний гаманець, який ніколи не піддає сид-фразу впливу пристрою, підключеного до інтернету. Найбезпечніша сид-фраза — та, яку жоден додаток не може прочитати.
Очікується, що Apple та Google видалять шкідливі додатки, але шкода вже може бути завдана. Користувачі, які завантажили будь-який додаток із SparkKitty, повинні вважати свої фотографії — та будь-які сид-фрази на них — скомпрометованими. Більше питання: скільки гаманців було спустошено, перш ніж хтось помітив? Ця цифра поки не оприлюднена, і, можливо, ніколи не буде оприлюднена.
