Žiaurus telefonų virusas vagia nuotraukas iš jūsų telefono. Trojos arklys SparkKitty kelia pavojų milijonams žmonių

Jūsų nuotraukos – tai tiesiogiai raktai į asmeninį gyvenimą. Galerijoje saugome planus ateičiai, savo slaptažodžius, kačiukų nuotraukas, o kartais net tai, kuo negalima dalintis su niekuo. Bet kaip dažnai galvojate apie savo nuotraukų apsaugą?

Naujasis Trojos arklys SparkKitty (virusas) vagia nuotraukas.

Kaip SparkKitty patenka į įrenginius

Virusas plinta dviem būdais: laukinėje gamtoje – tai yra bevardžiuose interneto plotuose, ir oficialiose programų parduotuvėse – App Store ir Google Play. Apie viską paeiliui.

Per oficialias parduotuves

App Store kenkėjas slepiasi kaip kriptovaliutų kursų sekimo ir prekybos signalų gavimo programa. Kaip tiksliai šioje programoje atsirado įtartina šnipinėjimo veikla – mums nežinoma, galbūt kažkur tiekimo grandinėje įvyko gedimas, ir programuotojai patys nežinojo apie SparkKitty buvimą. Bet gali būti ir antras variantas: programuotojai specialiai įtaisė virusą į programą. Kad ir kaip bebūtų, tai jau antrasis trojos prasiskverbimo į App Store atvejis.

Užkrėsta programa App Store

Su Google Play viskas daug paprasčiau, ten kenkėjiškos programos pasitaiko reguliariai. Šį kartą specialistai aptiko kenkėjišką veiklą žinučių programoje su kriptovaliutų keitimo funkcija. Programa populiari, buvo įdiegta daugiau nei 10 tūkst. kartų, šiuo metu ji jau pašalinta iš Google Play.

Kenkėjiškos programos plinta per įtartinas nuorodas

Kad ir kaip būtų, piktavaliai sugeba platinti kenkėjiškas programas tiesiog internete. Pavyzdžiui, nuolat stebėdami įtartinas nuorodas (mes jas tikriname tam, kad jums to nereikėtų daryti), mūsų ekspertai aptiko kelis vienodo tipo puslapius, siūlančius „modifikuotas“ TikTok versijas Android įrenginiams.

Vienas iš šių modų pagrindinių veiksmų buvo papildomo kodo iškvietimas. „Įtartina!“ – pagalvojome mes. Ir buvome teisūs. Tas kodas nukreipdavo į kitus puslapius, kurie programoje buvo rodomi kaip mygtukai. Visi jie vedė į internetinę parduotuvę „TikToki Mall“.

Deja, nepavyko nustatyti, ar ši parduotuvė veikia realiai, ar tai tik spąstai, tačiau vienas įdomus faktas išsiskyrė: „TikToki Mall“ priima kriptovaliutų mokėjimus, o norint apmokėti prekę, būtina užsiregistruoti ir įvesti pakvietimo kodą. Kitokios įtartinos veiklos šiame etape aptikta nebuvo – jokių SparkKitty ar kitų žinomų kenkėjų pėdsakų nerasta.

Kas nutiks, jei atidarysite tas pačias nuorodas su iPhone?

Mes nusprendėme patikrinti, kas atsitiks, jei tas pačias nuorodas atidarysime su iPhone. Taip atsidūrėme puslapyje, kuris iš pirmo žvilgsnio priminė App Store, ir mums buvo pasiūlyta atsisiųsti TikTok programą.

Kadangi iOS neleidžia įdiegti programų iš neoficialių šaltinių, Apple kūrėjams siūlo alternatyvą – vadinamuosius provisioning profiles (t. y. diegimo profilius). Jie leidžia programuotojams diegti specialias programas, kurios nėra App Store – dažniausiai tai beta versijos arba vidiniam naudojimui skirtos programos. Tačiau piktavaliai išnaudoja šiuos profilius savo kenkėjiškoms programoms platinti.

Programos įdiegimas šiuo atveju skyrėsi nuo įprasto: jei App Store užtenka vieno paspaudimo, tai šiai „netikrai“ TikTok versijai reikėjo papildomų veiksmų – atsisiųsti ir įdiegti kūrėjo profilį.

Kas slypėjo po netikru TikTok?

Kaip ir Android versijoje, tikrų vaizdo įrašų šioje TikTok versijoje nebuvo. Buvo tik dar viena internetinė parduotuvė. Iš pirmo žvilgsnio nieko įtartino, tačiau su kiekvienu paleidimu programa prašė prieigos prie naudotojo galerijos – štai čia ir slypėjo tikrieji spąstai.

Ekspertai aptiko, kad įdiegta programa siunčia piktavaliams nuotraukas iš vartotojo galerijos bei informaciją apie įrenginį. Tą patį kenkėjišką modulį aptikome ir kitose Android programose.

Kas atsiduria grėsmės zonoje?

Mūsų duomenimis, šios kampanijos pagrindinis taikinys – Pietryčių Azijos ir Kinijos naudotojai. Tačiau tai nereiškia, kad SparkKitty nepasieks Rusijos ar kitų šalių.

Kenkėjas plinta nuo 2024 m. pradžios, o per pusantrų metų jo kūrėjai galėjo išplėsti atakas ir į kitus regionus. Be to, pavojų kelia ne tik modifikuotas TikTok – kenkėjiškos veiklos ženklų aptikta ir įvairiuose azartiniuose bei pornografiniuose žaidimuose bei kriptovaliutų programose.

Jei manote, kad šis kenkėjas skirtas tik tam, kad žiūrėtų jūsų atostogų nuotraukas – klystate. SparkKitty išsiunčia absoliučiai visas nuotraukas į valdymo serverį, įskaitant ekrano kopijas, kuriose gali būti, pavyzdžiui, jūsų kriptovaliutų piniginių atkūrimo frazės – o tai jau tiesioginis pavojus jūsų finansams.

Kaip apsisaugoti nuo SparkKitty?

Šis trojanas plinta įvairiais būdais, tad apsauga nuo jo – tikrai sudėtingas iššūkis. Viena vertus, auksinė taisyklė galioja: neatsisiųskite programų iš neoficialių šaltinių. Kita vertus, kenkėjų pėdsakų aptikta net ir Google Play bei App Store – platformose, kuriose programos turėtų būti patikrintos ir saugios.

Ką daryti?

✅ Apsaugokite jautrias nuotraukas.
Patikimiausias būdas – nefotografuoti jautrių duomenų ar nesaugoti jų telefone. Bet realybėje tai dažnai neįmanoma. Sprendimas – naudoti saugias saugyklas.

Pavyzdžiui, Kaspersky Password Manager leidžia laikyti svarbias nuotraukas užšifruotai – jos pasiekiamos tik įvedus pagrindinį slaptažodį, kurį žinote tik jūs. Be to, duomenys sinchronizuojami tarp įrenginių – telefonų ir kompiuterių – kartu su bankinių kortelių duomenimis, autentifikavimo kodais ir kt.

✅ Patikrinkite savo įrenginį dabar.

• Android naudotojams rekomenduojame naudoti „Kaspersky Android“ programą – ji aptiks ir pašalins kenkėjus automatiškai.
• iPhone naudotojams mūsų apsauga, deja, negali tikrinti jau įdiegtų programų, bet ji gali sustabdyti duomenų siuntimą į piktavalių serverius ir apie tai jus įspėti.

Kenkėjiškos programos tampa vis sudėtingesnės ir sugeba apeiti net oficialių parduotuvių apsaugą. Todėl šiandien svarbiausia – išlikti budriems, saugoti savo duomenis ir naudoti patikimas apsaugos priemones.