写真やスクリーンショットをOCRで解析
サイバーセキュリティ企業のチェック・ポイント（Check Point）傘下で、脅威インテリジェンス事業を手がけるサイバーイント（Cyberint）が、AndroidおよびiOSを標的とする情報窃取マルウェア「スパークキティ（SparkKitty）」に関する解説記事を7月26日付で公開した。同記事は、カスペルスキー（Kaspersky）が2025年6月に公表した調査結果をもとに、その仕組みや配布経路、対策を解説したものだ。
スパークキティは、利用者から端末内の画像へのアクセス権限を得ると、写真やスクリーンショットを、端末情報などとともに攻撃者が管理するサーバーへ送信する情報窃取マルウェアだ。一部の亜種では写真ライブラリの変更を監視し、新たに追加された画像も送信する。
カスペルスキーの調査によると、確認されたスパークキティの大半は、OCR（光学文字認識）で画像を選別するのではなく、アクセス可能な画像を無差別に送信する。一方、スパークキティとの関連が疑われる別の活動群では、OCRを用いて、複数行の文字を含む画像を選別する挙動が確認された。OCRとは、画像内の文字を認識し、テキストデータとして処理する技術を指す。
そのため、端末内の画像に暗号資産（仮想通貨）ウォレットのシードフレーズやパスワード、QRコードなどが含まれていた場合、それらが攻撃者へ流出するおそれがある。シードフレーズとは、暗号資産ウォレットの復元に使用する秘密の単語列だ。第三者に知られた場合、ウォレットを復元され、保有する暗号資産を不正に移動される可能性がある。
スパークキティは、アップル（Apple）のアップストア（App Store）やグーグルプレイ（Google Play）のほか、非公式のアプリ配布サイトなどを通じても拡散していた。公式ストアを介さずにアプリを端末へ直接インストールする「サイドロード」も利用されていた。
iOSでは、暗号資産関連アプリ「ビーコイン（币coin）」のアップストア版に悪意あるコードが組み込まれていた。またAndroidでは、メッセージング機能と暗号資産交換機能を備えた「ソエックス（SOEX）」からスパークキティが確認された。グーグルプレイで配信されていたソエックスは、削除されるまでに1万回以上インストールされていた。このほか、改変版ティックトック（TikTok）やギャンブルアプリ、成人向けゲームなどからも悪意あるコードが確認された。
カスペルスキーによると、スパークキティを用いた活動は少なくとも2024年2月から続いており、同社が2025年6月23日に調査結果を公表した。カスペルスキーは、使用された開発環境や感染アプリなどの共通点から、2025年2月に公表した情報窃取マルウェア「スパークキャット（SparkCat）」と関連している可能性が高いとみている。
スパークキャットがOCRを使ってシードフレーズなどを含む画像を選別していたのに対し、スパークキティの大半の亜種は画像を無差別に窃取する点が異なる。カスペルスキーは、スパークキティについても暗号資産の窃取が主な目的と推定しているが、シードフレーズを直接検索する挙動は確認していない。
サイバーイントは対策として、シードフレーズをスクリーンショットや写真として端末内に保存しないことを推奨している。また、写真へのアクセス権限を必要なアプリのみに付与することや、アプリの提供元と要求する権限を確認することも重要だ。なおスパークキティは公式アプリストアでも配布されていたため、公式ストアからのインストールだけで安全が保証されるわけではない。
参考：チェックポイント
画像：PIXTA