Une société de cybersécurité, Check Point, a détaillé comment la campagne de malware SparkKitty ciblait les utilisateurs de cryptomonnaies en analysant, sur des appareils Android et iPhone infectés, des photos stockées dans les bibliothèques d’images afin d’y retrouver des expressions de récupération de portefeuille. Découvert pour la première fois par Kaspersky en juin 2025, le malware s’est propagé via l’App Store d’Apple, Google Play et des boutiques d’applications tierces. La campagne a réussi en diffusant des applications trojanisées, présentées comme des outils de cryptomonnaies légitimes, des plateformes de messagerie et des applications de divertissement, une variante Android ayant été téléchargée plus de 10 000 fois avant d’être supprimée. Le malware exploitait une vulnérabilité de sécurité courante : les utilisateurs qui stockaient les phrases de seed de leur portefeuille sous forme de captures d’écran dans leurs bibliothèques photo.
SparkKitty distribué via des applications trojanisées sur les plateformes majeures
Check Point a indiqué que la présence de SparkKitty à la fois sur l’Apple App Store et sur Google Play lui donnait une large surface d’attaque. Sur iOS, le malware était distribué via une application de cryptomonnaie appelée « 币coin », disponible sur l’App Store d’Apple. L’application dissimulait son code malveillant afin d’échapper au processus de validation d’Apple, avant de demander l’accès aux bibliothèques photo des utilisateurs. Sur Android, le malware apparaissait dans une application de messagerie et d’échange de cryptomonnaies appelée SOEX, téléchargée plus de 10 000 fois depuis Google Play avant d’être retirée. D’autres variantes étaient distribuées via des boutiques d’applications tierces, de fausses apps TikTok, des apps de jeux d’argent et des APK installés en dehors des canaux officiels.
Le malware analyse les bibliothèques photo pour retrouver les expressions de récupération
Une fois que les utilisateurs accordaient l’accès à leurs bibliothèques photo, le malware analysait les images stockées afin d’y repérer des expressions de récupération de portefeuille et d’autres informations sensibles, avant de téléverser les données vers des serveurs contrôlés par l’attaquant. Contrairement à beaucoup d’outils de vol d’informations qui reposent sur la surveillance du presse-papiers ou le keylogging, SparkKitty recherchait directement dans les bibliothèques photo des utilisateurs, rendant les captures d’écran contenant des expressions de récupération de portefeuille particulièrement ciblées. L’acteur de la menace derrière SparkKitty distribuait des applications trojanisées, déguisées en outils de cryptomonnaies légitimes, plateformes de messagerie et applications de divertissement, augmentant fortement la probabilité d’installation par des utilisateurs sans méfiance.
Les chercheurs recommandent un stockage hors ligne pour les phrases de portefeuille
Les chercheurs recommandent de conserver les expressions de récupération de portefeuille hors ligne plutôt que de les stocker sous forme de captures d’écran, de limiter les autorisations des bibliothèques photo à des applications de confiance et de ne télécharger des logiciels que depuis des développeurs réputés. Check Point a averti que le fait de stocker des expressions de récupération de portefeuille sous forme de captures d’écran peut exposer des actifs crypto à un vol.
Campagnes de malware connexes ciblant les utilisateurs de cryptomonnaies
Le rapport s’inscrit dans une série de campagnes de malware visant les utilisateurs de cryptomonnaies. En mars, Google a divulgué la chaîne d’exploitation DarkSword, qui déployait le malware Ghostblade capable de cibler de grandes plateformes d’échanges de cryptomonnaies et des applications de portefeuille tout en volant des messages, des mots de passe, des photos et d’autres données depuis des iPhone vulnérables. Le même mois, le FBI a lancé une enquête après que plusieurs jeux distribués via la plateforme Steam de Valve — dont « Chemia », « PirateFi » et « Tokenova » — aient été trouvés capables d’installer des malwares. En mai, la startup d’IA Perplexity a rendu open source Bumblebee, un outil de sécurité conçu pour détecter des logiciels compromis, des extensions de navigateur et des configurations de connecteurs IA, sans exécuter de code potentiellement malveillant, après une attaque de la chaîne d’approvisionnement logicielle ayant affecté plus de 160 packages de développeurs. En juin, Kaspersky a rapporté que des attaquants utilisaient Steam Workshop pour distribuer des téléchargements malveillants de Wallpaper Engine, déguisés en fonds d’écran pour bureau sur le thème d’animes. La campagne a déployé des voleurs d’informations Lumma et Vidar, des malwares couramment utilisés pour voler des identifiants de navigateur et des données de portefeuille de cryptomonnaies.
FAQ
Qu’est-ce que le malware SparkKitty et comment cible-t-il les utilisateurs de cryptomonnaies ?
SparkKitty est un malware découvert par Kaspersky en juin 2025 qui analyse les bibliothèques photo des utilisateurs pour y trouver des phrases seed de portefeuille crypto et d’autres informations sensibles. Il était distribué via des applications trojanisées sur l’App Store d’Apple, Google Play et des boutiques d’applications tierces, déguisées en outils de cryptomonnaies légitimes, plateformes de messagerie et applications de divertissement.
Combien de fois l’application Android SparkKitty a-t-elle été téléchargée avant d’être retirée ?
La variante Android appelée SOEX, qui se présentait comme une application de messagerie et d’échange de cryptomonnaies, a été téléchargée plus de 10 000 fois depuis Google Play avant d’être retirée.
Quelles mesures de sécurité les chercheurs recommandent-ils pour protéger les expressions de récupération de portefeuille ?
Les chercheurs recommandent de conserver les expressions de récupération de portefeuille hors ligne plutôt que de les stocker sous forme de captures d’écran, de limiter les autorisations des bibliothèques photo à des applications de confiance et de ne télécharger des logiciels que depuis des développeurs réputés.
