网络安全研究人员表示，SparkKitty 恶意软件活动通过扫描受感染 Android 和 iPhone 设备上的照片图库，寻找钱包恢复短语和其他敏感信息，从而针对加密货币用户。

根据网络安全公司 Check Point 的一份新报告，SparkKitty 通过 Apple 的 App Store、Google Play 和第三方应用商店中的恶意应用程序分发。该活动凸显了将加密钱包恢复短语保存为截图的风险：如果受感染的应用获得用户照片访问权限，数字资产可能因此暴露。

恢复短语也称为助记词，用于恢复对加密货币钱包的访问。由于掌握这些词语就可能足以在其他地方恢复钱包，它们成为恶意软件运营者和网络钓鱼活动的高价值目标。

SparkKitty 最早由 Kaspersky 于 2025 年 6 月发现。Check Point 的分析描述了该恶意软件如何通过应用商店触达用户：它被嵌入木马化应用中，而这些应用伪装成合法的加密货币工具、通信平台和娱乐应用。

“SparkKitty 尤其值得注意的一点，是它同时出现在 Apple App Store 和 Google Play 上，这使其拥有广泛的攻击面，”Check Point 写道。“SparkKitty 背后的威胁行为者分发了伪装成合法加密货币工具、通信平台甚至娱乐应用的木马化应用程序——大大提高了不知情用户安装的可能性。”

一旦用户授予照片图库访问权限，SparkKitty 就会搜索已存储图片中的钱包恢复短语和其他敏感数据。随后，该恶意软件会将收集到的信息上传至攻击者控制的服务器。

在 iOS 上，SparkKitty 通过一款名为“币coin”的加密货币应用分发，该应用曾在 Apple 的 App Store 上架。Check Point 表示，该应用隐藏了其恶意代码以规避 Apple 的审核流程，并在安装后请求访问用户的照片图库。

在 Android 上，该恶意软件出现在 SOEX 中；SOEX 是一款通信和加密货币交易应用，在被移除前于 Google Play 的下载量超过 10,000 次。Check Point 还表示，其他 SparkKitty 变种通过第三方应用商店、假冒 TikTok 应用、赌博应用以及侧载 APK 文件传播。

该活动表明，即使应用出现在官方应用商店中，用户仍需要审查应用权限，尤其是当某个应用请求广泛访问照片或其他与其核心功能无关的本地数据时。

SparkKitty 不同于许多通常依赖剪贴板监控或键盘记录的信息窃取程序。相反，它会直接搜索用户的照片图库，使钱包恢复短语截图成为攻击者特别有价值的目标。

研究人员建议用户将钱包恢复短语离线保存，而不是以截图形式存储；将照片图库权限限制给可信应用；并且只从信誉良好的开发者处下载软件。

这份报告发布之际，针对加密货币用户的一系列恶意软件活动仍在持续。3 月，Google 披露了 DarkSword 漏洞利用链，该链部署了 Ghostblade 恶意软件，能够针对主要加密货币交易所和钱包应用，同时从存在漏洞的 iPhone 中窃取消息、密码、照片和其他数据。

同样在 3 月，FBI 在发现通过 Valve 的 Steam 平台分发的多款游戏会安装恶意软件后展开调查，其中包括“Chemia”、“PirateFi”和“Tokenova”。

5 月，AI 初创公司 Perplexity 将 Bumblebee 开源；这是一款安全工具，旨在无需执行潜在恶意代码的情况下，检测被入侵的软件包、浏览器扩展和 AI 连接器配置。该发布发生在一次影响超过 160 个开发者软件包的软件供应链攻击之后。

6 月，Kaspersky 报告称，攻击者正在利用 Steam Workshop 分发恶意 Wallpaper Engine 下载内容，并将其伪装成动漫主题桌面壁纸。该活动部署了 Lumma 和 Vidar 信息窃取程序，这类恶意软件通常用于窃取浏览器凭据和加密货币钱包数据。