SparkCat : un malware vole les cryptos depuis les stores mobiles

Ce qui s'est passé

Les chercheurs de Kaspersky ont identifié en avril 2026 une nouvelle variante du trojan SparkCat dissimulée dans des applications disponibles sur l'App Store d'Apple et le Google Play Store. Deux applications infectées ont été repérées sur la boutique Apple et une sur celle de Google, ciblant principalement les utilisateurs de cryptomonnaies en Asie, selon The Hacker News.

Le malware se cache dans des applications d'apparence anodine — messageries d'entreprise et services de livraison alimentaire — tout en scannant silencieusement les galeries photo des victimes. Il utilise la reconnaissance optique de caractères pour détecter les phrases mnémoniques de récupération de portefeuilles crypto capturées en screenshot par les utilisateurs. La variante iOS scanne les phrases en anglais, élargissant potentiellement le bassin de victimes au-delà de l'Asie.

Les applications malveillantes identifiées par Kaspersky incluent 币coin sur l'App Store et SOEX sur Google Play, toutes deux retirées depuis. Cette version améliorée de SparkCat intègre plusieurs couches d'obfuscation par rapport aux itérations précédentes, notamment la virtualisation de code et l'utilisation de langages de programmation cross-platform pour contourner les analyses statiques, d'après l'analyse de Dark Reading.

Pourquoi c'est important

Cette découverte est particulièrement préoccupante car elle démontre que les processus de validation des stores officiels, y compris celui d'Apple réputé plus strict, restent contournables par des malwares sophistiqués. SparkCat avait déjà été découvert en février 2025 sur les deux plateformes, ce qui signifie que les attaquants ont eu plus d'un an pour perfectionner leurs techniques d'évasion.

Le vecteur d'attaque est redoutablement efficace : de nombreux utilisateurs de cryptomonnaies prennent des captures d'écran de leur phrase de récupération par commodité, sans réaliser que cette pratique les expose à ce type d'exfiltration. L'évolution vers des techniques d'obfuscation avancées comme la virtualisation de code rend la détection par les antivirus mobiles classiques nettement plus difficile.

Ce qu'il faut retenir

• Ne jamais stocker de phrases de récupération crypto sous forme de photo ou screenshot sur un appareil mobile
• Vérifier régulièrement les permissions des applications installées, en particulier l'accès à la galerie photo
• Privilégier un gestionnaire de mots de passe chiffré ou un support physique hors ligne pour les seed phrases