Phần mềm độc hại SparkKitty đánh cắp cụm từ seed crypto xuất hiện trên Apple App Store và Google Play Store

Một dòng phần mềm độc hại mới có tên SparkKitty vừa được phát hiện ẩn náu trong cả Apple App Store và Google Play Store. Nó đánh cắp các cụm từ seed (seed phrase) tiền mã hóa bằng cách quét các ảnh được lưu trên thiết bị của người dùng. Phát hiện này một lần nữa nhấn mạnh một điểm mù dai dẳng trong bảo mật ứng dụng di động — ngay cả các cửa hàng chính thức cũng có thể chứa mã độc.

Cách SparkKitty hoạt động

SparkKitty hoạt động một cách lặng lẽ. Sau khi được cài đặt, nó lục lọi thư viện ảnh của thiết bị để tìm những bức ảnh có chứa cụm từ seed — các khóa gồm 12 hoặc 24 từ dùng để khôi phục ví tiền mã hóa. Nếu tìm thấy, nó sẽ gửi cụm từ đó ra ngoài đến một máy chủ từ xa. Kẻ tấn công sau đó có thể rút sạch bất kỳ ví nào liên kết với cụm từ seed đó. Phần mềm độc hại không cần lừa người dùng nhập bất cứ thứ gì; nó chỉ đọc những gì đã có sẵn trên điện thoại.

Vấn đề với cửa hàng ứng dụng

Cả Apple và Google đều thực hiện kiểm duyệt tự động và thủ công trước khi phê duyệt ứng dụng. SparkKitty đã vượt qua được các vòng kiểm duyệt đó. Đây không phải lần đầu tiên — các ứng dụng độc hại vẫn thường lọt qua mỗi vài tháng — nhưng nó là lời nhắc nhở rằng quy trình kiểm duyệt của cửa hàng không phải là hoàn hảo. Phần mềm độc hại có thể đã che giấu hành vi quét ảnh của mình đằng sau các tính năng có vẻ hợp pháp, chỉ kích hoạt mã độc sau khi cài đặt. Cả hai công ty đều chưa tiết lộ có bao nhiêu ứng dụng bị ảnh hưởng hoặc SparkKitty đã có sẵn để tải về trong bao lâu.

Người dùng nên làm gì

Nếu bạn lưu trữ cụm từ seed dưới dạng ảnh chụp màn hình hoặc ảnh chụp, hãy dừng lại. Xóa chúng đi. Hãy viết chúng ra giấy và cất giữ tờ giấy đó ở nơi an toàn. Tốt hơn nữa, hãy sử dụng ví phần cứng (hardware wallet) không bao giờ để lộ cụm từ seed ra thiết bị kết nối internet. Cụm từ seed an toàn nhất là cụm từ mà không ứng dụng nào có thể đọc được.

Apple và Google dự kiến sẽ gỡ bỏ các ứng dụng vi phạm, nhưng thiệt hại có thể đã xảy ra. Người dùng đã tải bất kỳ ứng dụng nào mang SparkKitty nên cho rằng ảnh của họ — và bất kỳ cụm từ seed nào trong đó — đã bị xâm phạm. Câu hỏi lớn hơn: có bao nhiêu ví đã bị rút sạch trước khi có ai phát hiện? Con số đó vẫn chưa được công bố, và có thể sẽ không bao giờ được công bố.