Ciberseguridad

El malware móvil SparkKitty ha puesto en jaque la seguridad de los usuarios de Android y iOS tras ser descubierto en apps disponibles en las tiendas oficiales de Google y Apple. Su objetivo: acceder a las fotos almacenadas en el dispositivo, extraer información crítica —como frases de recuperación de billeteras de criptomonedas— y enviarlas a servidores controlados por ciberdelincuentes.

Este nuevo troyano representa una evolución más sofisticada del conocido SparkCat, identificado por Kaspersky a principios de 2025. Si bien SparkCat ya preocupaba por su capacidad para detectar frases de recuperación mediante reconocimiento óptico de caracteres (OCR), SparkKitty lleva la amenaza un paso más allá al robar todas las imágenes del dispositivo, sin discriminar.

Una amenaza real en cualquier dispositivo móvil

Aunque solemos asociar el malware con fuentes no oficiales o archivos descargados desde sitios sospechosos, SparkKitty demuestra que ni siquiera las tiendas de aplicaciones más vigiladas están a salvo. Según el informe de Kaspersky, dos aplicaciones concretas sirvieron como caballo de Troya: ?coin, en la App Store de Apple, y SOEX, en Google Play.

Ambas han sido eliminadas, pero no antes de haber infectado miles de dispositivos. SOEX, por ejemplo, era una app de mensajería con funciones de intercambio de criptomonedas, que acumuló más de 10.000 descargas en Android. En paralelo, se detectaron variantes del malware en clones modificados de TikTok y aplicaciones de juegos o casinos para adultos, distribuidas fuera de los canales oficiales.

Así funciona SparkKitty

En dispositivos iOS, SparkKitty se camufla en librerías como AFNetworking.framework o libswiftDarwin.dylib, que se ejecutan automáticamente mediante el método +load de Objective-C. Una vez en marcha, el malware accede a la galería del dispositivo, vigila cualquier cambio y exfiltra todas las imágenes que detecta, incluyendo aquellas tomadas antes de la infección.

En Android, el malware se integra en apps escritas en Java o Kotlin, y a veces emplea módulos maliciosos de Xposed o LSPosed. Cuando el usuario abre la app infectada, SparkKitty descarga un archivo de configuración cifrado (AES-256 en modo ECB), que le indica a qué servidores (C2) debe enviar la información robada.

Una característica notable de la variante para Android es su capacidad de aplicar OCR a las imágenes, utilizando Google ML Kit, para filtrar y subir únicamente aquellas que contienen texto —una función pensada para detectar frases de recuperación de criptomonedas.

La importancia que tiene por las capturas de pantalla

Porque muchas personas, por comodidad, hacen capturas de pantalla de sus seed phrases —las frases clave que permiten recuperar una billetera de criptomonedas— y las guardan en sus móviles. Un error crítico: si un malware accede a esa imagen, puede replicar la billetera en otro dispositivo y vaciarla en segundos.

Estas frases, generalmente compuestas por 12 o 24 palabras, no solo permiten recuperar el acceso a la billetera, sino también transferir todos los fondos almacenados en ella. Perder el control de esa información equivale a perder tu dinero para siempre.

Y aunque SparkKitty parece centrarse en criptomonedas, el riesgo va más allá. El acceso a la galería también puede derivar en chantajes, suplantación de identidad, robo de información sensible o acceso a fotos privadas que pueden ser usadas con fines extorsivos.

¿Cómo pudo pasar esto?

La pregunta es inevitable: ¿cómo lograron estas apps pasar los controles de Apple y Google?

Kaspersky señala que los atacantes utilizaron técnicas avanzadas para esconder su código malicioso. En iOS, el malware se disfraza de librerías legítimas, mientras que en Android se oculta tras funcionalidades aparentemente inocuas, como el acceso a almacenamiento.

Este caso pone de relieve una tendencia preocupante: los mecanismos de control automatizados de las tiendas oficiales no siempre detectan comportamientos peligrosos antes de que una app alcance miles de usuarios.