官方商店淪爲“木馬”溫牀？起底SparkKitty：一場針對相冊助記詞的精準獵殺

攻擊解剖：從SparkCat到SparkKitty的“隱形”進化

2025年6月23日，卡巴斯基威脅研究團隊首次披露 SparkKitty，稱其爲一種“高度隱蔽的圖像竊取型惡意軟件”。該病毒與2024年初發現的 SparkCat 惡意軟件同源，共享相似的代碼結構和攻擊手法，但技術更爲精進。卡巴斯基分析師指出，SparkKitty 最早活動可追溯至2024年2月，最初以東南亞和中國爲主要目標，通過僞裝成加密貨幣、賭博和通訊類應用，潛入用戶設備。

SparkKitty 的核心目標是竊取相冊中的所有圖片，重點鎖定加密貨幣錢包的 助記詞（seed phrases） 截圖。助記詞是恢復加密錢包的唯一憑證，一旦泄露，攻擊者可直接控制用戶錢包，轉移全部資產。相比 SparkCat，SparkKitty 的 OCR（光學字符識別）技術更高效，部分變種利用 Google ML Kit OCR，僅上傳含文本的圖片，降低服務器負擔，提高竊取效率。此外，病毒還會收集設備標識符、瀏覽器 cookie 等敏感數據，增加身分盜用和帳戶入侵風險。

攻破圍牆花園：官方商店如何成爲最大攻擊向量？

SparkKitty最令人警醒之處，在於它成功攻破了被認爲最安全的應用分發渠道——Apple App Store和Google Play。

官方應用商店的審查機制，在這場攻防戰中顯得力不從心。攻擊者利用“特洛伊木馬”策略，將惡意代碼僞裝在看似無害的應用中：

App Store的失守：一款名爲“幣coin”的應用，以簡潔的加密貨幣行情追蹤界面爲僞裝，成功上架。它利用用戶對行情工具的信任，誘導其授予相冊訪問權限。

Google Play的重災區：名爲“SOEX”的通訊應用，宣稱提供“加密聊天與交易”功能，累計下載量超1萬次。此外，賭博和成人遊戲類應用也被證實是其重要傳播媒介。據統計，自SparkCat時期至今，Google Play上相關惡意應用的累計下載量已超過24.2萬次。

除了官方渠道，攻擊者還輔以多維度的傳播矩陣：

非官方APK分發：通過YouTube廣告、Telegram羣組和第三方下載站，分發僞裝成TikTok破解版、熱門鏈遊或博彩應用的APK安裝包。

iOS企業證書濫用：利用蘋果的企業開發者計劃，繞過App Store的嚴格審查，通過網頁連結直接向用戶設備安裝應用。

這些應用在安裝和運行時，其權限請求（如訪問相冊）往往被包裝成應用的核心功能需求，用戶極易在不經意間授權，從而引狼入室。

萬人受害，資產歸零：一場針對亞洲市場的“本地化”閃擊戰

東南亞和中國市場，成爲SparkKitty的首要目標。這並非偶然，而是精心策劃的“本地化”戰略：

精準的用戶畫像：這些地區是加密貨幣和移動博彩應用的高度活躍市場，用戶基數龐大且安全意識相對薄弱。

文化與語言的誘餌：應用名稱（如“幣coin”）、界面設計和宣傳文案均採用本地化語言，甚至嵌入當地流行的博彩遊戲元素，極大地降低了用戶的防備心理。

盡管攻擊集中在亞洲，但卡巴斯基警告，SparkKitty在技術上是無國界的，其代碼可以被輕易改造以攻擊全球任何地區的用戶。X（原Twitter）上，安全專家和加密KOL已發起大規模預警，呼籲用戶自查，事件的恐慌情緒正在全球加密社區蔓延。其危害是多層次的：

資產即刻蒸發：助記詞是恢復錢包的唯一鑰匙。一旦泄露，攻擊者可在數分鍾內轉移走用戶所有的加密資產，且幾乎無法追回。

隱私徹底裸奔：相冊中可能存有身分證、護照、銀行卡、家庭合影等海量隱私信息，一旦被黑產利用，後果不堪設想。

連鎖帳戶：被盜的Cookies和憑證可能導致用戶的社交媒體、郵箱甚至銀行帳戶被接管。

深思：當助記詞截圖成爲“阿喀琉斯之踵”

平台方正在行動。Google已下架相關應用，Apple也曾因SparkCat事件封禁了近百個開發者帳戶。但這更像是一場永無休止的“打地鼠”遊戲。只要攻擊者能不斷找到審查機制的漏洞，新的“木馬”就會源源不斷地出現。

SparkKitty事件爲整個行業敲響了警鍾，它暴露了幾個深刻的困境：

應用商店的信任危機：用戶對官方商店“絕對安全”的迷信已被打破。平台方需要引入更主動、更智能的動態行爲檢測機制，而非僅僅依賴靜態代碼掃描。

用戶習慣與安全的永恆矛盾：爲了便利，用戶傾向於用最簡單的方式——截圖——來備份最重要的數據。這種行爲模式恰恰是安全體系中最脆弱的一環。

加密安全的“最後一公裏”困境：無論硬體錢包多麼安全，DeFi協議多麼去中心化，只要用戶在助記詞管理這個“最後一公裏”上犯錯，所有防線都將形同虛設。

如何自保？與其亡羊補牢，不如未雨綢繆

根除陋習，物理備份：徹底摒棄使用相冊、備忘錄或任何聯網雲服務存儲助記詞的習慣。回歸最原始也最安全的方式：手寫物理備份，並存放在不同地點的安全位置。

最小權限原則：像吝嗇鬼一樣守護你的手機權限。任何非必要的相冊、通訊錄、位置訪問請求，都應一律拒絕。

建立“潔淨室”環境：考慮使用一部專門的、網路隔離的舊手機來管理加密資產，不安裝任何來源不明的應用。

SparkKitty或許會被剿滅，但下一個“Kitty”已經在醞釀之中。這場攻擊提醒我們，Web3世界的安全，不僅是代碼和協議的戰爭，更是一場關於人性、習慣和認知的持續博弈。在絕對的便利面前保持警惕，是每個數字公民的必修課。