Noul framework sofisticat descoperit de Kaspersky a vizat deja sute de victime din peste 25 de țări, cele mai multe cazuri fiind înregistrate în Brazilia, Vietnam, Canada, Mexic și Turcia. Potrivit experților Kaspersky, amenințarea este încă activă și reprezintă în principal un risc pentru utilizatorii de criptomonede. Framework-ul utilizează TookPS pentru extragerea frazelor de recuperare (seed phrases) și include un modul nou, denumit OkoSpyware, capabil să monitorizeze browserele bazate pe Chromium și să distribuie diverse tipuri de malware, inclusiv stealer-ul Rilide.
În ianuarie 2026, experții din cadrul Kaspersky Global Research and Analysis Team (GReAT) au identificat mai multe atacuri care implicau un tip nou de malware capabil să captureze conținutul ferestrelor asociate portofelelor de criptomonede. Denumit Okobot, noul framework malware sofisticat include peste 20 de componente malițioase și implanturi, concepute pentru a îndeplini o gamă largă de funcții, precum colectarea fișierelor locale, executarea comenzilor de la distanță, descărcarea extensiilor de browser, furtul portofelelor de criptomonede, extragerea frazelor de recuperare și a acreditărilor, înregistrarea video și desfășurarea altor activități malițioase. Unul dintre noile implanturi utilizate în această campanie este un loader care modifică memoria browserului pentru a încărca și ascunde extensii malițioase. OkoBot include, de asemenea, un nou modul OkoSpyware, capabil să înregistreze apăsările tastelor și fluxul video al ferestrei unei aplicații vizate.
Informațiile disponibile în prezent nu permit atribuirea precisă a acestei campanii vreunui actor cunoscut din zona criminalității informatice. Cu toate acestea, tehnicile utilizate și infostealer-ul implicat sunt folosite frecvent de grupări vorbitoare de limbă rusă, iar analiza tehnică a identificat, de asemenea, fragmente de cod în limba rusă.
Infectarea inițială are loc, de regulă, prin două metode principale: atacuri de tip ClickFix, în care atacatorii folosesc ingineria socială pentru a convinge utilizatorii să execute un cod malițios, și distribuirea de malware prin intermediul GitHub, sub aparența unor programe legitime. În timpul investigației, cercetătorii au identificat un astfel de caz care implica un instalator fals pentru SQL Server Management Studio (SSMS), un instrument Microsoft utilizat pe scară largă pentru administrarea bazelor de date.
Framework-ul malițios include componenta SeedHunter, un modul care monitorizează procesele active din sistem și injectează un implant în aplicațiile Trezor Suite, Ledger Wallet și Ledger Live – aplicații oficiale utilizate pentru administrarea activelor de criptomonede. Atunci când detectează conectarea unui portofel hardware Trezor sau Ledger, acesta activează funcțiile interceptate pentru a afișa o pagină de phishing predefinită, concepută pentru furtul frazei de recuperare (seed phrase), utilizând un design specific pentru fiecare tip de portofel.
Pagini de phishing utilizate pentru furtul frazelor de recuperare în cadrul campaniei OkoBot
Raportul complet este disponibil pe securelist.com.
Pentru a rămâne în siguranță, experții Kaspersky GReAT recomandă utilizatorilor:
- Să nu urmeze niciodată instrucțiuni provenite din surse neverificate pentru rularea unor coduri necunoscute pe dispozitiv, indiferent dacă acestea sunt oferite direct sau apar în tutoriale online. Atacatorii folosesc frecvent această metodă pentru infectarea sistemelor, ceea ce poate duce la pierderea datelor sau chiar la pierderea controlului asupra dispozitivului.
- Să utilizeze o soluție de securitate puternică pe toate calculatoarele și dispozitivele mobile, precum Kaspersky Premium, care poate avertiza utilizatorii și poate preveni infectarea.
- Să gestioneze datele sensibile în mod sigur: evitați stocarea parolelor sau a frazelor de recuperare în galeria foto sau în aplicațiile de notițe; utilizați în schimb un manager de parole dedicat și de încredere, precum Kaspersky Password Manager.
- Să nu dezactiveze niciodată soluțiile antivirus sau instrumentele de securitate pentru instalarea unor programe și să fie atenți atunci când descarcă moduri pentru jocuri, cheat-uri sau utilitare provenite din surse terțe.
- Să mențină sistemele de operare și aplicațiile actualizate, să folosească parole puternice și unice și să activeze autentificarea multifactor ori de câte ori este posibil.
