Logiciel malveillant mobile SparkKitty

Une vaste opération cybercriminelle cible les utilisateurs de TikTok Shop dans le monde entier, utilisant un puissant mélange de tactiques d'hameçonnage et d'applications malveillantes. Au cœur de cette escroquerie se trouve SparkKitty, un malware furtif et performant intégré à de fausses applications TikTok. Si cette campagne semble promouvoir le e-commerce, il s'agit en réalité d'un stratagème sophistiqué visant à voler les données et les actifs financiers des utilisateurs.

À l’intérieur de SparkKitty : un intrus silencieux mais dangereux

SparkKitty est une variante de malware multiplateforme conçue pour collecter des informations sensibles sur les appareils Android et iOS. Une fois installé via une fausse application TikTok Shop, il déclenche discrètement une série d'activités intrusives. Il prend l'empreinte digitale de l'appareil infecté, analyse les captures d'écran enregistrées grâce à la reconnaissance optique de caractères (OCR) pour détecter les phrases clés des portefeuilles de cryptomonnaies et envoie les données volées à des serveurs distants contrôlés par l'attaquant. Ces fonctionnalités font de SparkKitty un outil de vol de données avancé et très efficace.

FraudOnTok : une campagne trompeuse à grande échelle

Des chercheurs en cybersécurité ont baptisé l'opération en cours « FraudOnTok », en référence aux méthodes trompeuses utilisées pour usurper l'identité de TikTok Shop. Cette campagne, d'envergure mondiale, s'appuie fortement sur des domaines similaires et l'intelligence artificielle pour tromper les utilisateurs.

Les acteurs malveillants diffusent le malware via des milliers de sites web usurpés, conçus pour imiter les domaines officiels de TikTok. Ces sites de phishing semblent souvent légitimes et sont hébergés sur des domaines de premier niveau comme .top, .shop et .icu. La campagne utilise également de fausses vitrines proposant des réductions importantes pour inciter les utilisateurs à télécharger l'application trojanisée.

Pour couronner le tout, les attaquants utilisent des vidéos générées par l'IA qui se font passer pour des influenceurs populaires ou des comptes officiels de marques. Ces vidéos sont diffusées via des publicités payantes sur des plateformes comme Facebook et TikTok, ce qui confère aux arnaques une crédibilité accrue et accroît leur portée.

Le manuel d’attaque : des clics aux compromis

Lorsqu'une victime clique sur une fausse publicité ou suit un lien usurpé, elle est généralement redirigée vers un site de phishing ou encouragée à installer une application malveillante. Ces applications infectent non seulement les appareils avec SparkKitty, mais simulent également des échecs de connexion. Les victimes sont ensuite invitées à se connecter avec leur compte Google, ce qui permet aux attaquants d'exploiter les jetons OAuth pour accéder à leur compte sans avoir à saisir directement leurs identifiants.

Si les utilisateurs tentent d'accéder aux fonctionnalités de la boutique TikTok depuis l'application malveillante, ils sont redirigés vers de fausses pages de connexion, une autre tactique visant à voler les identifiants. La combinaison de l'hameçonnage et des attaques applicatives permet à SparkKitty de compromettre discrètement les appareils des utilisateurs tout en collectant de précieuses données personnelles et financières.

Schémas de monétisation derrière l’opération

Bien que la campagne utilise plusieurs tactiques, son objectif ultime est le gain financier. L'opération cible les utilisateurs de TikTok et les participants aux programmes d'affiliation avec des stratagèmes tels que :

• Vendre des produits contrefaits ou fortement réduits et demander des paiements en crypto-monnaie, trompant à la fois les acheteurs et les spécialistes du marketing affilié.
• Convaincre les affiliés de charger des crypto-monnaies dans de faux portefeuilles sur la plateforme avec la promesse de commissions ou de bonus de retrait qui n'arrivent jamais.
• Vol d'identifiants de connexion via de fausses interfaces de boutique TikTok et exploitation des jetons Google OAuth pour accéder sans validation directe.

Ces méthodes montrent comment les attaquants maximisent leurs profits en manipulant les deux extrémités de l’écosystème TikTok Shop, les consommateurs et les promoteurs.

Conclusion : Restez prudent, restez protégé

L'essor de SparkKitty dans le cadre de la campagne FraudOnTok illustre l'évolution des cybercriminels, mêlant phishing traditionnel et diffusion de logiciels malveillants sophistiqués. Les utilisateurs doivent faire preuve d'une grande prudence lorsqu'ils interagissent avec le contenu de la boutique TikTok, en particulier lorsqu'ils sont invités à télécharger des applications ou à saisir leurs identifiants. Il est essentiel de se fier uniquement aux plateformes officielles pour les téléchargements et de se méfier des offres trop belles pour être vraies. Comme le démontre SparkKitty, un seul faux pas peut entraîner un vol de données et des pertes financières considérables.