Unos investigadores han descubierto recientemente SparkCat, un malware que ataca a usuarios de smartphones explotando sus capturas de pantalla para extraer datos sensibles. Este programa malicioso se ha detectado hace poco en aplicaciones presentes en la App Store y en Google Play, lo que pone de relieve los límites de los controles de seguridad de esas plataformas.
Un malware sofisticado que explota las capturas de pantalla
SparkCat se infiltra en los dispositivos móviles ocultándose en aplicaciones descargadas de la App Store o de Google Play. Una vez instalada, la aplicación maliciosa solicita acceso a las fotos con un pretexto legítimo, como la personalización de imágenes o el intercambio de archivos multimedia. En cuanto obtiene ese permiso, explora discretamente la carpeta donde se almacenan las capturas de pantalla del usuario.
Comienza entonces el análisis de las imágenes. SparkCat utiliza el reconocimiento óptico de caracteres (OCR) para identificar elementos sensibles, prioritariamente las frases de recuperación de los monederos de criptomonedas, pero también credenciales de conexión o códigos de autenticación. Los datos extraídos se envían después a un servidor remoto controlado por los ciberdelincuentes, lo que les permite acceder a las cuentas financieras de las víctimas y vaciarlas.
El malware no se detiene ahí. Aprovechando los permisos concedidos, intercepta los SMS y las notificaciones, y obtiene así códigos de doble autenticación. De este modo elude las medidas de seguridad establecidas por las víctimas y facilita el acceso a sus cuentas protegidas. Para asegurar su persistencia, SparkCat emplea técnicas avanzadas de ocultación que le permiten permanecer indetectable y complicar su eliminación.
Aplicaciones con trampa en tiendas oficiales
El malware SparkCat es especialmente insidioso porque convierte aplicaciones legítimas en vectores de infección. Se ha propagado a través de las tiendas oficiales integrándose en aplicaciones legítimas que ofrecen servicios populares, como asistentes de IA, aplicaciones de reparto de comida y monederos de criptomonedas.
La inyección del malware se produce mediante esos SDK y frameworks, integrados a menudo por los desarrolladores sin conocer su naturaleza maliciosa, lo que compromete la seguridad de sus aplicaciones y de los usuarios finales.
En Android, el SDK malicioso incorpora un componente Java llamado Spark, disimulado como un módulo de análisis de datos. En iOS se presenta con distintas denominaciones, en particular Gzip, googleappsdk o stat. Entre las aplicaciones maliciosas figuran WeTink, AnyGPT y ComeCome.
¿Cómo protegerse frente a este malware?
Frente a SparkCat, las buenas prácticas de seguridad son las siguientes:
- Restringir los permisos: limite el acceso a los recursos sensibles, como la galería de fotos, únicamente a las aplicaciones estrictamente necesarias.
- Controlar los permisos de las aplicaciones: realice una auditoría periódica de los accesos concedidos a las aplicaciones y revoque los que parezcan injustificados o no conformes con las políticas de seguridad de la empresa.
- Desplegar una solución de seguridad móvil avanzada: Pradeo Mobile Threat Defense (MTD) analiza con una precisión sin igual todos los comportamientos de las aplicaciones. Detecta no solo cuándo una aplicación intenta acceder a los archivos almacenados en el dispositivo, sino también cuándo exfiltra datos hacia un servidor remoto. Gracias a esta capacidad de detección ultrafina, las aplicaciones que contienen SparkCat son bloqueadas automáticamente por Pradeo, lo que impide cualquier fuga de datos sensibles incluso antes de que pueda producirse.
