SparkKitty torna virale: ruba foto e seed phrase da iPhone e Android

🛡️ Executive Summary

• SparkKitty è tornato al centro dell’attenzione dopo nuovi post pubblicati da importanti account dedicati alle criptovalute.
• La minaccia non è stata scoperta nel luglio 2026: Kaspersky l’aveva documentata il 23 giugno 2025.
• Il malware sottrae le immagini della galleria e può esporre seed phrase, documenti, password e altri dati conservati negli screenshot.

SparkKitty è tornato improvvisamente al centro dell’attenzione dopo che CoinMarketCap, Coin Bureau, The Block e Master Crypto hanno rilanciato su X l’allarme relativo a un malware capace di sottrarre le fotografie dagli smartphone e cercare le seed phrase dei wallet crypto. La notizia è reale, ma non è nuova: la campagna era stata documentata da Kaspersky il 23 giugno 2025, mentre Apple e Google avevano successivamente rimosso le applicazioni identificate dai rispettivi store. I nuovi post non descrivono quindi una diversa infezione scoperta nel luglio 2026, ma riportano in circolazione una minaccia già conosciuta e ancora rilevante per chi conserva informazioni sensibili nella galleria del telefono.

I post crypto rilanciano una minaccia scoperta nel 2025

I quattro post pubblicati su X presentano SparkKitty come un malware individuato nell’Apple App Store e in Google Play, capace di analizzare le fotografie alla ricerca delle frasi di recupero dei wallet. Coin Bureau avverte che applicazioni malevole presenti negli store ufficiali scandagliavano le immagini degli utenti, mentre The Block collega espressamente la campagna a SparkKitty. I contenuti hanno generato una nuova ondata di attenzione perché provengono da account seguiti da una vasta comunità di investitori, ma non indicano una nuova ricerca, nuove applicazioni compromesse o un’ulteriore campagna emersa nel luglio 2026. La fonte originaria rimane l’indagine pubblicata da Kaspersky il 23 giugno 2025, aggiornata due giorni dopo per comunicare la rimozione dell’app malevola dall’App Store. Presentare l’episodio come una scoperta appena avvenuta rischia quindi di confondere la data della nuova viralità social con quella dell’incidente tecnico. I post di Coin Bureau e The Block confermano il contenuto generale dell’allarme, ma non aggiungono indicatori, campioni o vittime rispetto alla documentazione già disponibile.

SparkKitty sottrae le immagini invece di leggerle tutte localmente

La caratteristica principale di SparkKitty è l’accesso alla galleria fotografica degli smartphone compromessi. Nella maggior parte dei campioni analizzati, il malware non selezionava localmente soltanto le fotografie contenenti seed phrase, ma raccoglieva indiscriminatamente immagini già presenti e nuovi file salvati sul dispositivo, inviandoli ai server controllati dagli aggressori. Kaspersky aveva inoltre individuato un cluster collegato che utilizzava il riconoscimento ottico dei caratteri per scegliere immagini specifiche. Questa distinzione è importante: la campagna può essere orientata al furto dei wallet crypto, ma la capacità tecnica espone qualsiasi contenuto memorizzato nella galleria, comprese fotografie di documenti, password, codici QR, conversazioni, carte di pagamento e materiale privato. SparkKitty rappresenta l’evoluzione della precedente operazione SparkCat, che utilizzava modelli OCR per riconoscere il testo contenuto negli screenshot e individuare le parole associate alle frasi di recupero. L’attività era in corso almeno da febbraio 2024, molto prima della divulgazione pubblica.

Le app infette superarono i controlli degli store ufficiali

Su iOS, SparkKitty era stato incorporato in framework che imitavano componenti legittimi come AFNetworking e Alamofire, oppure nascosto all’interno di librerie offuscate con nomi simili a quelli utilizzati dal sistema. Tra le applicazioni individuate nell’App Store compariva 币coin, un software legato al mercato delle criptovalute. Su Android, il malware era presente nell’app SOEX, presentata come piattaforma di messaggistica con funzioni di scambio crypto e scaricata più di 10.000 volte da Google Play prima della rimozione. Altre varianti venivano distribuite al di fuori degli store ufficiali attraverso copie modificate di TikTok, siti di gioco d’azzardo e falsi negozi di criptovalute. La pubblicazione nei marketplace di Apple e Google aumentava la credibilità delle applicazioni e dimostrava che la provenienza ufficiale non elimina automaticamente il rischio. Lo stesso problema era stato affrontato nell’analisi originale dedicata a SparkKitty su iOS e Android, quando la famiglia era stata resa pubblica per la prima volta.

SparkCat aveva già introdotto il furto delle seed phrase tramite OCR

SparkKitty non nasce come una minaccia isolata. Kaspersky la considera collegata a SparkCat, operazione scoperta all’inizio del 2025 che aveva introdotto un SDK malevolo capace di utilizzare Google ML Kit per riconoscere testo latino, cinese, giapponese e coreano all’interno delle fotografie. SparkCat scaricava dal server di comando una lista di parole chiave e inviava soltanto le immagini che corrispondevano ai criteri stabiliti dagli operatori. Le applicazioni Android coinvolte avevano accumulato complessivamente oltre 242.000 installazioni, mentre la presenza di componenti equivalenti nell’App Store aveva rappresentato uno dei primi casi conosciuti di stealer OCR distribuito attraverso il marketplace ufficiale di Apple. Una nuova variante di SparkCat era poi tornata a colpire Android e iOS, confermando che la tecnica non era stata abbandonata dopo la rimozione delle prime applicazioni. SparkKitty amplia questa logica attraverso il furto generalizzato della galleria e un ecosistema di distribuzione più diversificato.

Una seed phrase fotografata equivale alla chiave del wallet

La seed phrase, normalmente composta da 12 o 24 parole, consente di ricostruire un wallet anche su un dispositivo differente. Non svolge la stessa funzione di una normale password: chi la possiede può importare il portafoglio, generare le chiavi private e trasferire gli asset senza dover conoscere il PIN locale o superare l’autenticazione biometrica dello smartphone originale. Fotografarla o conservarla come screenshot elimina quindi gran parte della protezione offerta dal wallet, perché qualsiasi applicazione autorizzata ad accedere alla galleria può potenzialmente raggiungerla. La transazione con cui l’attaccante svuota il portafoglio non può essere annullata attraverso una banca, un chargeback o il reset delle credenziali. Il rischio non è teorico, come dimostrano le applicazioni contraffatte che chiedono direttamente le parole di recupero: il trojan FakeWallet pubblicato nell’App Store sottraeva le seed phrase degli utenti iOS, sfruttando ancora una volta la fiducia trasferita dal marketplace all’applicazione.

La nuova viralità non dimostra una nuova infezione

Al momento non emergono dai quattro post elementi sufficienti per affermare che SparkKitty sia nuovamente entrato negli store nel luglio 2026, che siano state individuate nuove applicazioni o che sia stata misurata una nuova ondata di wallet compromessi. I messaggi social riprendono fatti già pubblici, in alcuni casi semplificandoli fino a sostenere che il malware “scansionasse” direttamente tutte le fotografie con OCR. La ricerca originale è più precisa: la maggior parte delle varianti sottraeva indiscriminatamente le immagini, mentre un cluster collegato applicava il riconoscimento del testo per effettuare una selezione. Anche la data deve essere mantenuta chiara. La ricerca tecnica di Kaspersky su SparkKitty risale al 23 giugno 2025 e registra la rimozione dell’app iOS il 25 giugno 2025. I post di CoinMarketCap, Coin Bureau, The Block e Master Crypto pubblicati nel luglio 2026 rappresentano quindi un rilancio informativo, non la fonte della scoperta.

Eliminare gli screenshot non basta quando la frase è già esposta

Chi conserva una seed phrase nella galleria dovrebbe rimuoverla sia dal dispositivo sia dai backup sincronizzati con servizi cloud, ma la semplice cancellazione non offre garanzie quando un’app sospetta ha già ottenuto l’accesso alle fotografie. In quel caso la frase deve essere considerata potenzialmente compromessa e gli asset dovrebbero essere trasferiti verso un nuovo wallet generato con una seed differente. La frase di recupero deve essere conservata offline, su carta o su supporti fisici resistenti, senza fotografarla, inviarla tramite email o salvarla in documenti sincronizzati. È inoltre necessario controllare i permessi concessi alle applicazioni: un software per prezzi crypto, messaggistica o gioco non dovrebbe ottenere accesso completo alla galleria quando la funzione non è indispensabile. La rimozione delle app individuate nel 2025 ha chiuso quei canali specifici, ma non elimina la tecnica né impedisce ad altri sviluppatori criminali di replicarla. La vera lezione di SparkKitty non è che gli store siano permanentemente infetti, ma che una seed phrase archiviata come immagine resta vulnerabile a qualsiasi applicazione capace di leggere o esportare le fotografie.