SparkKitty vient de porter un coup brutal à la confiance placée dans les boutiques d’applications officielles. Ce malware, identifié par les chercheurs de Kaspersky en juin 2025, a sévi pendant plus d’un an — depuis février 2024 — à l’intérieur d’applications apparemment légitimes sur l’App Store d’Apple et Google Play. Son objectif : extraire les phrases seed de portefeuilles cryptocurrency stockées sous forme de captures d’écran dans la galerie photo des victimes. Retour complet sur une menace qui redéfinit les standards de la cycriminalité mobile.
🔑 En bref
- SparkKitty a infiltré l’App Store (app « coin ») et Google Play (app « SOEX ») avec plus de 10 000 téléchargements
- Le malware utilise la reconnaissance optique de caractères (OCR) pour détecter les phrases seed dans les captures d’écran
- Les transactions blockchain étant irréversibles, le vol d’une phrase seed signifie la perte définitive des fonds
- Plus de 69 000 plaintes pour fraude crypto ont été enregistrées par le FBI en 2023, soit +45 % sur un an
Qu’est-ce que SparkKitty ?
SparkKitty est un trojan espion mobile multiplateforme conçu pour infiltrer les appareils Android et iOS afin de systématiquement voler des images depuis la galerie photo des victimes. Son objectif principal : identifier, extraire et exfiltrer les captures d’écran contenant des phrases seed de portefeuilles cryptocurrency — les clés maîtres qui octroient un accès complet aux portfolios d’actifs numériques.
Ce qui rend SparkKitty particulièrement alarmant, c’est sa portée. Le malware ne repose pas exclusivement sur des téléchargements d’APK douteux ou des boutiques d’applications non officielles. Il s’est frayé un chemin jusqu’aux deux marketplaces mobiles les plus surveillées de la planète : l’App Store d’Apple et Google Play. Ce fait seul devrait susciter de sérieuses préoccupations chez tout utilisateur de smartphone ayant déjà pris une capture d’écran pour sécuriser ses informations.
SparkKitty n’est pas une création entièrement nouvelle. Les chercheurs l’ont rapidement identifié comme un successeur direct d’une autre famille de malware appelée SparkCat, documentée par Kaspersky en février 2025. Les deux familles partagent des patterns de code, l’infrastructure et les tactiques. Cependant, SparkKitty affine et amplifie l’approche de son prédécesseur, le rendant plus agressif et plus difficile à détecter.
La menace du stockage numérique des phrases seed
Pour comprendre pourquoi ce malware est si dangereux, il convient de rappeler ce qu’est une phrase seed et pourquoi elle est cruciale.
Une phrase seed de portefeuille cryptocurrency — également connue sous le nom de phrase de récupération ou phrase mnémotechnique — est généralement une séquence de 12 à 24 mots générée lors de la création d’un portefeuille crypto. Cette phrase est essentiellement le mot de passe maître de l’ensemble du portefeuille. Quiconque la possède peut reconstruire le portefeuille sur n’importe quel appareil et obtenir immédiatement accès à tous les fonds stockés.
Contrairement à un mot de passe bancaire compromis, il n’y a pas de ligne de support client à appeler, pas de département antifraude pour contester la transaction, et aucun moyen d’inverser un transfert blockchain une fois confirmé. Cette irréversibilité est l’un des piliers philosophiques fondamentaux de la cryptocurrency décentralisée. Elle constitue également, comme SparkKitty le démontre, l’une de ses faiblesses les plus exploitables.
« Parce que les transactions blockchain sont irréversibles, la victime n’a aucun recours une fois ses fonds drainés. Le malware transforme un réflexe de sécurité en vulnérabilité critique. »
Kaspersky, Securelist, juin 2025
Comment SparkKitty a infiltré les boutiques officielles
Le fait que SparkKitty ait atteint les deux boutiques majeures est l’un des aspects les plus troublants de cette campagne. L’App Store d’Apple est depuis longtemps considéré comme une forteresse — les applications undergo un examen rigoureux avant publication, et l’écosystème fermé d’Apple rend le sideloading difficile. Google Play, bien que plus permissif, dispose néanmoins de filtres de sécurité substantiels.
Dans l’App Store d’Apple, le malware se cachait à l’intérieur d’une application appelée « coin », commercialisée comme une application de suivi des taux cryptocurrency et de signaux de trading. Elle semblait entièrement légitime. L’application fonctionnait comme annoncé, ce qui l’a aidée à construire des avis positifs et la confiance des utilisateurs. Dissimulé dans son code, toutefois, se trouvait un framework malveillant qui imitait des bibliothèques de réseau légitimes telles que AFNetworking et Alamofire.
Sur Google Play, l’application infectée s’appelait SOEX — une application de messagerie intégrant des fonctionnalités d’échange cryptocurrency. Elle avait accumulé plus de 10 000 téléchargements avant d’être retirée.
| Application | Boutique | Nom du malware | Téléchargements estimés | Statut |
|---|---|---|---|---|
| coin | Apple App Store | SparkKitty | Non communiqué | Retirée |
| SOEX | Google Play | SparkKitty | 10 000+ | Retirée |
| TikTok modifié | Sources non officielles | SparkKitty | Indéterminé | Actif (canaux parallèles) |
Au-delà des boutiques officielles
SparkKitty ne s’est pas limité aux marketplaces officiels. Les chercheurs ont également découvert le malware distribué via des canaux non officiels, y compris des versions modifiées de l’application TikTok. Ces versions trojanisées étaient promues via des liens suspects et des boutiques tierces, ciblant particulièrement les utilisateurs en Chine et en Asie du Sud-Est.
Sur Android, certaines versions de SparkKitty s’intégrèrent avec le framework Xposed — un outil puissant pour personnaliser le comportement du système Android — afin de gagner une persistance avancée sur les appareils rootés. Sous iOS, les attaquants exploitèrent le système de profil de provisioning d’entreprise d’Apple pour faire installer par les utilisateurs des versions modifiées de TikTok dotées de fonctionnalités malveillantes.
Analyse technique du fonctionnement
Une fois installé et accordé l’accès à la galerie photo, SparkKitty commence son travail systématiquement. Le malware surveille continuellement la galerie, analysant tant les images existantes que les nouvelles photos ajoutées. Plusieurs variantes intègrent des moteurs OCR — souvent basés sur Google ML Kit, la même technologie qui alimente la numérisation légitime de documents sur les smartphones — pour détecter et extraire le texte des captures d’écran.
Le texte reconnu est ensuite évalué contre des ensembles de règles définis par les attaquants. Ces règles sont conçues pour identifier les patterns cohérents avec les phrases seed de portefeuilles cryptocurrency, les mots de récupération, les codes de sauvegarde et autres données financières sensibles. Dans certaines configurations, SparkKitty télécharge chaque image de la galerie accompagnée de métadonnées de l’appareil — modèle, version du système d’exploitation, paramètres régionaux et identifiants des applications installées.
« Cette approche d’exfiltration massive marque un tournant par rapport à SparkCat, qui était plus sélectif. SparkKitty adopte une stratégie de terre brûlée : même si une photo n’est pas immédiatement utile, elle peut contenir des informations personnelles permettant une fraude de suivi ou, dans des cas extrêmes, des campagnes de chantage. »
Équipe Kaspersky GReAT, juin 2025
Portée géographique et profil des victimes
Les opérateurs de SparkKitty semblent cibler principalement les utilisateurs en Chine et en Asie du Sud-Est, avec un focus particulier sur les individus actifs dans le trading cryptocurrency et utilisant des portefeuilles et échanges mobiles. Les mots-clés détectés par le moteur OCR du malware incluent des termes en chinois, japonais, coréen, anglais, tchèque, français, italien, polonais et portugais.
L’infrastructure de la campagne raconte la même histoire. Les domaines de commande-et-contrôle identifiés par les chercheurs comprennent des adresses telles que yjhjymfjnj.wyxbmh.cn, xt.xinqianf38.top, lt.laoqianf51.top et lt.laoqianf14.top, dont beaucoup ont été précédemment associés à des opérations de scams cryptocurrency et de systèmes Ponzi.
Contexte élargi : l’explosion du malware mobile
SparkKitty n’est pas un incident isolé. Il fait partie d’une vague préoccupante plus large d’attaques cybernétiques ciblant les smartphones. Selon les données de Statista, les appareils mobiles ont représenté 83 % de toutes les souches de malware entre 2021 et 2023, avec des attaques augmentant globalement de 8 % d’année en année.
| Année | Plaintes FBI (crypto fraude) | Variation annuelle | Pertes estimées |
|---|---|---|---|
| 2022 | ~47 600 | — | ~3,9 milliards USD |
| 2023 | 69 000+ | +45 % | 5,6 milliards USD |
La combinaison de malware mobile de plus en plus sophistiqués et de la nature irréversible des transactions cryptocurrency crée un environnement où les victimes peuvent tout perdre en quelques minutes.
Comment vous protéger
L’émergence de SparkKitty dans les boutiques d’applications officielles est un signal d’alarme. Les anciens conseils — ne télécharger que depuis des sources fiables — ne suffisent plus seuls, car les sources fiables peuvent être compromises. Voici les étapes concrètes que chaque détenteur de cryptocurrency devrait prendre immédiatement.
Audit de la galerie photo
Parcourez vos captures d’écran et supprimez celles contenant des phrases seed, clés privées, adresses de portefeuille, mots de passe ou toute autre information financière sensible. Ne comptez pas non plus sur le dossier corbeille — supprimez-les définitivement. Si vous devez conserver un enregistrement de votre phrase seed, écrivez-la sur papier et stockez-la dans un endroit physique sécurisé, comme un coffre-fort.
Utilisation d’un coffre-fort chiffré
Kaspersky Password Manager, parmi d’autres solutions, offre un stockage photo chiffré où les fichiers ne peuvent être accédés qu’après avoir entré un mot de passe maître connu uniquement de l’utilisateur.
Vérification des permissions applicatives
Si une application de suivi de prix crypto, une application de messagerie ou toute application n’ayant aucune raison évidente de visualiser vos photos demande l’accès à la galerie, refusez cette demande et envisagez de désinstaller l’application. Un tracker de portfolio crypto n’a aucune raison légitime de scanner votre pellicule.
Considération du hardware wallet
Pour des holdings significatifs, envisagez un portefeuille matériel (hardware wallet). Ces appareils stockent les clés privées hors ligne, ce qui signifie que les phrases seed ne touchent jamais un appareil connecté à Internet. Cela élimine entièrement la surface d’attaque pour ce type de malware.
Mises à jour système
Maintenez le système d’exploitation de votre téléphone à jour. Les correctifs de sécurité dans les mises à jour iOS et Android abordent fréquemment les vulnérabilités exploitées par des malware comme SparkKitty.
Conclusion : commodité versus sécurité
SparkKitty exploite un instinct très humain : le désir de commodité. Prendre une capture d’écran d’une phrase seed semble sûr. La stocker dans sa galerie photo semble comme la garder à portée de main. Mais dans le monde de la cryptocurrency, cette commodité comporte un risque profond.
La découverte de SparkKitty dans les boutiques officielles prouve que la menace n’est plus théorique et qu’elle n’est plus confinée aux utilisateurs téléchargeant des applications depuis des sources non fiables. Elle est à l’intérieur des murs de l’App Store et de Google Play, à l’intérieur des appareils de dizaines de milliers d’utilisateurs, et opère avec un niveau de sophistication qui lui a permis de rester indétectée pendant plus d’un an.
Le message pour les détenteurs de cryptocurrency est clair : ne stockez jamais vos phrases seed numériquement. Ne supposez jamais que, parce qu’une application est dans une boutique officielle, elle est sûre. Et assumez toujours que chaque permission que vous accordez est une porte qui pourrait être ouverte contre vous. Les photos sur votre téléphone peuvent sembler inoffensives. Pour SparkKitty, elles sont les clés de votre avenir financier.
Sources
- Kaspersky — « SparkKitty: a new stealer in the App Store and Google Play » (23 juin 2025)
- Kaspersky Securelist — « Take my money: OCR crypto stealers in Google Play and App Store » (février 2025)
- GBHackers News — « SparkKitty Monitors Mobile Photo Galleries » (2025)
- Dark Reading — « SparkKitty Swipes Pics From iOS, Android Devices » (23 juin 2025)
- Crypto Briefing — « SparkKitty malware infiltrates App Store and Google Play » (2025)
- Broadcom (Symantec) — Protection Bulletin (15 juillet 2025)
- University of Hawaii – West Oahu — « SparkCat Malware Forensic Analysis » (28 février 2025)
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
