Malware móvil SparkKitty

Una extensa operación cibercriminal se dirige a los usuarios de TikTok Shop a nivel mundial, utilizando una potente combinación de tácticas de phishing y aplicaciones con malware. Un elemento clave de este esquema es SparkKitty, un malware sigiloso y potente integrado en apps falsas de TikTok. Si bien la campaña parece promover el comercio electrónico, en realidad es una sofisticada estrategia para robar datos y activos financieros de los usuarios.

Dentro de SparkKitty: Un intruso silencioso pero peligroso

SparkKitty es una variante de malware multiplataforma diseñada para recopilar información confidencial de dispositivos Android e iOS. Una vez instalado a través de una app falsa de TikTok Shop, inicia silenciosamente diversas actividades intrusivas. Toma la huella digital del dispositivo infectado, analiza las capturas de pantalla almacenadas mediante reconocimiento óptico de caracteres (OCR) para detectar frases semilla de monederos de criptomonedas y envía los datos robados a servidores remotos controlados por el atacante. Estas características convierten a SparkKitty en una herramienta avanzada y altamente efectiva contra el robo de datos.

FraudOnTok: Una campaña engañosa a gran escala

Investigadores de ciberseguridad han denominado la operación en curso FraudOnTok, haciendo referencia a los métodos engañosos utilizados para suplantar la identidad de TikTok Shop. Esta campaña tiene alcance global y se basa en gran medida en dominios similares e inteligencia artificial para engañar a los usuarios.

Los actores de amenazas distribuyen el malware a través de miles de sitios web falsos diseñados para imitar los dominios oficiales de TikTok. Estos sitios de phishing suelen parecer legítimos y están alojados en dominios de nivel superior como .top, .shop y .icu. La campaña también utiliza tiendas falsas que anuncian grandes descuentos para convencer a los usuarios de descargar la aplicación troyanizada.

Para agravar el engaño, los atacantes utilizan vídeos generados por IA que suplantan la identidad de influencers populares o cuentas oficiales de marcas. Estos vídeos se difunden mediante anuncios pagados en plataformas como Facebook y TikTok, lo que da credibilidad a las estafas y aumenta su alcance.

El manual del ataque: de los clics al compromiso

Cuando una víctima hace clic en un anuncio falso o sigue un enlace falsificado, suele ser redirigida a un sitio de phishing o se le anima a instalar una aplicación maliciosa. Estas aplicaciones no solo infectan dispositivos con SparkKitty, sino que también simulan fallos de inicio de sesión. A continuación, se les solicita a las víctimas que inicien sesión con sus cuentas de Google, lo que permite a los atacantes explotar tokens OAuth para acceder a la cuenta sin necesidad de introducir credenciales.

Si los usuarios intentan acceder a las funciones de la Tienda TikTok dentro de la aplicación fraudulenta, son redirigidos a páginas de inicio de sesión falsas, otra táctica diseñada para robar credenciales. La combinación de phishing y ataques basados en la aplicación permite a SparkKitty comprometer silenciosamente los dispositivos de los usuarios mientras recopila valiosos datos personales y financieros.

Esquemas de monetización detrás de la operación

Aunque la campaña utiliza diversas tácticas, su objetivo final es obtener ganancias económicas. La operación se dirige a los usuarios de TikTok y a los participantes del programa de afiliados con estrategias que incluyen:

• Vender productos falsos o con grandes descuentos y solicitar pagos en criptomonedas, engañando tanto a compradores como a comercializadores afiliados.
• Convencer a los afiliados de cargar criptomonedas en billeteras falsas en la plataforma con la promesa de comisiones o bonificaciones de retiro que nunca llegan.
• Robar credenciales de inicio de sesión a través de interfaces falsas de TikTok Shop y aprovechar los tokens de Google OAuth para obtener acceso sin validación directa.

Estos métodos muestran cómo los atacantes están maximizando las ganancias al manipular ambos extremos del ecosistema de TikTok Shop, tanto consumidores como promotores.

Conclusión: Manténgase cauteloso y protegido

El auge de SparkKitty en la campaña FraudOnTok pone de manifiesto la evolución de los ciberdelincuentes, que combinan el phishing tradicional con la distribución de malware sofisticado. Los usuarios deben ser extremadamente cautelosos al interactuar con el contenido de la Tienda TikTok, especialmente cuando se les solicita descargar aplicaciones o ingresar credenciales. Es fundamental confiar únicamente en las plataformas oficiales para las descargas y ser escéptico ante ofertas demasiado buenas para ser verdad. Como demuestra SparkKitty, incluso un solo paso en falso puede provocar un grave robo de datos y pérdidas financieras.