SparkCat : un malware vole les cryptos depuis les stores

Ce qui s'est passé

Les chercheurs de Kaspersky ont identifié en avril 2026 une nouvelle variante du trojan SparkCat, dissimulée au sein d'applications légitimes en apparence et distribuées sur les boutiques officielles d'Apple et de Google. Deux applications infectées ont été détectées sur l'App Store et une sur le Google Play Store, ciblant en priorité les détenteurs de cryptomonnaies en Asie, selon les informations relayées par The Hacker News. Le mode opératoire du SparkCat malware crypto App Store repose sur un module de reconnaissance optique de caractères capable d'analyser la galerie photo des appareils compromis afin d'y repérer les phrases de récupération des portefeuilles numériques. Cette campagne illustre la capacité persistante des acteurs malveillants à contourner les processus de validation des magasins d'applications, pourtant réputés pour la rigueur de leurs contrôles de sécurité.

Le malware se cache dans des applications d'apparence anodine — messageries d'entreprise et services de livraison alimentaire — tout en scannant silencieusement les galeries photo des victimes. Il utilise la reconnaissance optique de caractères pour détecter les phrases mnémoniques de récupération de portefeuilles crypto capturées en screenshot par les utilisateurs. La variante iOS scanne les phrases en anglais, élargissant potentiellement le bassin de victimes au-delà de l'Asie.

Les applications malveillantes identifiées par Kaspersky incluent 币coin sur l'App Store et SOEX sur Google Play, toutes deux retirées depuis. Cette version améliorée de SparkCat intègre plusieurs couches d'obfuscation par rapport aux itérations précédentes, notamment la virtualisation de code et l'utilisation de langages de programmation cross-platform pour contourner les analyses statiques, d'après l'analyse de Dark Reading.

Pourquoi c'est important

Cette découverte est particulièrement préoccupante car elle démontre que les processus de validation des stores officiels, y compris celui d'Apple réputé plus strict, restent contournables par des malwares sophistiqués. SparkCat avait déjà été découvert en février 2025 sur les deux plateformes, ce qui signifie que les attaquants ont eu plus d'un an pour perfectionner leurs techniques d'évasion.

Le vecteur d'attaque est redoutablement efficace : de nombreux utilisateurs de cryptomonnaies prennent des captures d'écran de leur phrase de récupération par commodité, sans réaliser que cette pratique les expose à ce type d'exfiltration. L'évolution vers des techniques d'obfuscation avancées comme la virtualisation de code rend la détection par les antivirus mobiles classiques nettement plus difficile.

Ce qu'il faut retenir (2)

• Ne jamais stocker de phrases de récupération crypto sous forme de photo ou screenshot sur un appareil mobile
• Vérifier régulièrement les permissions des applications installées, en particulier l'accès à la galerie photo
• Privilégier un gestionnaire de mots de passe chiffré ou un support physique hors ligne pour les seed phrases

Cette exposition volontaire mais négligente illustre un problème structurel : la conservation de secrets cryptographiques sous forme d'image reste une pratique répandue malgré les recommandations des éditeurs de wallets. Selon les données de Chainalysis citées dans plusieurs analyses sectorielles, le vol de phrases de récupération figure parmi les vecteurs de perte de fonds crypto les plus coûteux, devant même certains exploits de smart contracts. La capacité de SparkCat à opérer indifféremment sur iOS et Android élargit mécaniquement la surface d'attaque, alors que les deux écosystèmes concentrent l'essentiel des usages mobiles de portefeuilles crypto.

L'incident relance également le débat sur la responsabilité des marketplaces d'applications. Apple et Google appliquent des revues automatisées et manuelles avant publication, mais ces contrôles ciblent principalement les comportements malveillants explicites — exfiltration réseau suspecte, permissions abusives déclarées. Le recours à l'OCR embarqué pour analyser localement la pinacothèque, combiné à une exfiltration différée et chiffrée, permet à SparkCat de passer sous le radar de ces analyses statiques et dynamiques classiques, un constat partagé par plusieurs éditeurs d'EDR mobiles.

Ce qu'il faut retenir

Comment SparkCat parvient-il à voler les cryptomonnaies ?

Le fonctionnement de SparkCat repose sur une chaîne d'exécution en plusieurs étapes conçue pour minimiser les signaux détectables lors de l'analyse des stores. Après installation, l'application vecteur demande l'accès à la galerie photo sous un prétexte légitime — envoi de pièces jointes pour une messagerie, upload de justificatif pour un service de livraison. Cette permission, courante et rarement questionnée par les utilisateurs, constitue le point d'entrée du module malveillant.

Une fois l'accès obtenu, un moteur OCR intégré au code de l'application — reposant sur des bibliothèques de reconnaissance de texte multiplateformes — parcourt silencieusement les images stockées localement. L'algorithme recherche des motifs correspondant aux phrases mnémoniques BIP-39 : suites de douze ou vingt-quatre mots issus d'une liste standardisée utilisée par la quasi-totalité des portefeuilles crypto modernes (MetaMask, Trust Wallet, Ledger Live notamment). La variante iOS étend cette détection aux phrases en anglais, contre un périmètre plus restreint dans les versions précédentes majoritairement axées sur les marchés asiatiques.

Les images jugées pertinentes sont ensuite compressées et transmises vers une infrastructure de commande et contrôle distante, généralement via des canaux chiffrés pour échapper à l'inspection du trafic réseau. Les couches d'obfuscation ajoutées dans cette version — virtualisation partielle du code et usage de frameworks cross-platform — compliquent la rétro-ingénierie et retardent la détection par les moteurs antivirus mobiles. Une fois la phrase de récupération exfiltrée, les attaquants peuvent reconstituer le portefeuille complet et transférer les fonds sans nécessiter d'accès physique à l'appareil ni interaction supplémentaire de la victime.