セキュリティ企業Check Pointによると、7月27日、SparkKittyマルウェアがApple App Store、Google Play、およびサードパーティのAndroidストア上で、iOSおよびAndroidアプリ全体に埋め込まれた状態で発見された。このクロスプラットフォームのマルウェアファミリーは、光学文字認識（OCR）を使用してユーザーのギャラリー内の写真をスキャンし、暗号資産ウォレットのシードフレーズ、パスワード、QRコードを抽出した後、盗み出したデータに端末情報を付加してリモートサーバーへアップロードする。
攻撃者はSparkKittyを暗号資産サービス、チャットツール、エンタメアプリとして偽装し、ギャラリーへのアクセスを要求したうえで、既存および新規の写真を継続的にスキャンする。確認されたサンプルには、iOSの「CoinCoin」アプリやAndroidの「SOEX」アプリが含まれており、それぞれ削除されるまでに10,000回以上のダウンロードがあった。追加の亜種はサードパーティストア、TikTokの改造版、ギャンブルアプリを通じて広がっており、中にはXposedモジュールによりルート化端末上で持続性を維持しているものもある。Check Pointは、ユーザーに対しシードフレーズはオフラインで保管し、リカバリーフレーズのスクリーンショットや写真撮影を避け、アプリのカメラおよびギャラリーの権限を定期的に見直すよう助言している。
