카스퍼스키, 안드로이드 및 IOS 사용자의 암호화폐 지갑을 노리는 "SparkCat" 멀웨어 경고

카스퍼스키 연구원들은 변조된 모바일 앱에 악성 소프트웨어 개발 키트(SDK)를 삽입하여 암호화폐 지갑 복구 문구를 노리는 크로스 플랫폼 멀웨어 캠페인인 "SparkCat"을 발견했습니다.

보고서에 따르면 이 멀웨어는 사용자의 이미지 갤러리에서 민감한 데이터를 검색하며, 2023년 3월에 처음 발견된 기법입니다.

처음에 사이버 보안 전문가들은 암호화폐 지갑 니모닉을 추출하여 원격 서버로 전송하는 멀웨어가 포함된 메시징 앱을 발견했습니다. 당시 이 공격은 비공식 출처에서 앱을 다운로드하는 Android 및 Windows 사용자로 제한되었습니다.

하지만 2024년 말에 발견된 SparkCat 캠페인은 그 범위를 더욱 확장했습니다. 새로운 버전은 Android 및 iOS 디바이스용 공식 및 비공식 마켓플레이스에서 제공되는 앱에 악성 SDK를 통합합니다.

활성화되면 SparkCat은 Google ML Kit의 OCR 도구를 사용하여 기기의 이미지 갤러리를 스캔하고 영어, 중국어, 한국어, 일본어 및 여러 유럽 언어를 포함한 여러 언어에서 암호화폐 지갑 복구 문구와 관련된 특정 키워드를 검색합니다.

그런 다음 멀웨어는 Amazon 클라우드 스토리지 또는 Rust 기반 프로토콜을 통해 공격자가 제어하는 서버에 이미지를 업로드하며, 암호화된 데이터 전송 및 비표준 통신 방법으로 인해 활동을 추적하는 데 복잡성이 추가됩니다.

IOS에서 SparkCat은 감염된 앱에 내장된 악성 프레임워크를 통해 작동하며, 이를 통해 바이러스는 GZIP, Googleappsdk 또는 stat와 같은 이름으로 자신을 위장할 수 있습니다.

Objective-C로 작성되고 HikariLLV로 난독화된 이 프레임워크는 Google ML 키트와 통합되어 갤러리의 이미지에서 텍스트를 추출합니다.

이 멀웨어는 스크린샷에 남아있을 수 있는 메시지 내용이나 비밀번호와 같은 다른 민감한 데이터도 훔칠 수 있는 것으로 보입니다.

카스퍼스카이는 아시아와 유럽에서 이미 242,000대 이상의 디바이스가 이 멀웨어에 감염된 것으로 추정하고 있습니다. 멀웨어의 정확한 출처는 아직 알려지지 않았지만, 코드에 포함된 주석과 오류 메시지를 보면 멀웨어 개발자가 중국어권 국가 출신인 것으로 추정됩니다.

카스퍼스키의 연구원들은 사용자가 스크린샷 안에 봉제된 문구, 개인 키 및 비밀번호와 같은 중요한 정보를 저장하지 말 것을 권장합니다.

정교한 멀웨어는 암호화폐 업계에서 지속적으로 위협이 되고 있으며, 악의적인 공격자들이 구글과 애플의 스토어 보안 조치를 우회한 것은 이번이 처음이 아닙니다.