SparkKitty Mobile Malware

Szeroko zakrojona operacja cyberprzestępców jest wymierzona w użytkowników TikTok Shop na całym świecie, wykorzystując skuteczną kombinację taktyk phishingowych i aplikacji zainfekowanych złośliwym oprogramowaniem. Centralnym elementem tego procederu jest SparkKitty, ukryte i skuteczne złośliwe oprogramowanie osadzone w fałszywych aplikacjach TikTok. Chociaż kampania wydaje się promować e-commerce, w rzeczywistości jest to wyrafinowany sposób kradzieży danych użytkowników i aktywów finansowych.

Wewnątrz SparkKitty: Cichy, ale niebezpieczny intruz

SparkKitty to wieloplatformowa odmiana złośliwego oprogramowania, której celem jest zbieranie poufnych informacji z urządzeń z systemem Android i iOS. Po zainstalowaniu za pośrednictwem fałszywej aplikacji TikTok Shop, po cichu inicjuje szereg inwazyjnych działań. Odcisk palca zainfekowanego urządzenia, analizuje zapisane zrzuty ekranu za pomocą optycznego rozpoznawania znaków (OCR) w celu wykrycia fraz źródłowych portfela kryptowalut i wysyła skradzione dane na zdalne serwery kontrolowane przez atakujących. Te funkcje sprawiają, że SparkKitty jest zaawansowanym i wysoce skutecznym narzędziem do kradzieży danych.

FraudOnTok: oszukańcza kampania na dużą skalę

Badacze ds. cyberbezpieczeństwa określili trwającą operację mianem FraudOnTok, odnosząc się do oszukańczych metod podszywania się pod sklep TikTok. Kampania ta ma zasięg globalny i w dużej mierze opiera się na domenach imitujących domeny oraz sztucznej inteligencji, aby wprowadzać użytkowników w błąd.

Aktorzy zagrożeń rozpowszechniają złośliwe oprogramowanie za pośrednictwem tysięcy fałszywych stron internetowych, imitujących oficjalne domeny TikToka. Te witryny phishingowe często wyglądają na legalne i są hostowane w domenach najwyższego poziomu, takich jak .top, .shop i .icu. Kampania wykorzystuje również fałszywe witryny sklepowe, reklamujące ogromne zniżki, aby przekonać użytkowników do pobrania zainfekowanej aplikacji.

Oszustwo potęguje fakt, że atakujący wykorzystują filmy generowane przez sztuczną inteligencję, podszywające się pod popularnych influencerów lub oficjalne konta marek. Filmy te są rozpowszechniane za pośrednictwem płatnych reklam na platformach takich jak Facebook i TikTok, co nadaje oszustwom pozory wiarygodności i zwiększa ich zasięg.

Podręcznik ataku: od kliknięć do kompromisu

Gdy ofiara kliknie fałszywą reklamę lub skorzysta z podrobionego linku, zazwyczaj zostaje przekierowana na stronę phishingową lub zachęcona do zainstalowania złośliwej aplikacji. Aplikacje te nie tylko infekują urządzenia za pomocą SparkKitty, ale także symulują błędy logowania. Ofiary są następnie proszone o zalogowanie się za pomocą konta Google, co pozwala atakującym wykorzystać tokeny OAuth do uzyskania dostępu do konta bez konieczności bezpośredniego podawania danych uwierzytelniających.

Gdy użytkownicy próbują uzyskać dostęp do funkcji sklepu TikTok w ramach podejrzanej aplikacji, zostają przekierowywani na fałszywe strony logowania, co stanowi kolejną taktykę mającą na celu kradzież danych uwierzytelniających. Połączenie phishingu i ataków na aplikacje umożliwia SparkKitty dyskretne przejęcie kontroli nad urządzeniami użytkowników, jednocześnie gromadząc cenne dane osobowe i finansowe.

Schematy monetyzacji stojące za operacją

Chociaż kampania wykorzystuje kilka taktyk, jej ostatecznym celem jest zysk finansowy. Operacja jest skierowana do użytkowników TikToka i uczestników programów partnerskich, a jej działania obejmują:

• Sprzedawanie fałszywych lub mocno przecenionych produktów i żądanie płatności w kryptowalucie, co ma na celu oszukanie zarówno kupujących, jak i marketerów afiliacyjnych.
• Przekonywanie partnerów do ładowania kryptowalut do fałszywych portfeli na platformie, obiecując prowizje lub bonusy od wypłat, które nigdy nie docierają.
• Kradzież danych logowania za pomocą fałszywych interfejsów sklepu TikTok i wykorzystywanie tokenów Google OAuth w celu uzyskania dostępu bez bezpośredniej weryfikacji.

Metody te pokazują, w jaki sposób atakujący maksymalizują zyski, manipulując obiema stronami ekosystemu sklepu TikTok, zarówno konsumentami, jak i promotorami.

Wniosek: Zachowaj ostrożność, chroń się

Rozwój SparkKitty w ramach kampanii FraudOnTok uwypukla ewolucję cyberprzestępców, którzy łączą tradycyjny phishing z wyrafinowanym dostarczaniem złośliwego oprogramowania. Użytkownicy powinni zachować szczególną ostrożność podczas interakcji z treściami w sklepie TikTok, zwłaszcza gdy są proszeni o pobranie aplikacji lub podanie danych uwierzytelniających. Poleganie wyłącznie na oficjalnych platformach do pobierania i sceptycyzm wobec ofert, które wydają się zbyt dobre, aby były prawdziwe, jest kluczowe. Jak pokazuje SparkKitty, nawet jeden błąd może prowadzić do poważnej kradzieży danych i strat finansowych.