Kaspersky GReAT Mengungkap Kerangka Malware OkoBot: Dirancang untuk Mencuri Frasa Pemulihan Dompet Cryptocurrency, Cookie Browser, dan Lainnya

KoinCircle (120btc.CoM): Tim Penelitian dan Analisis Global Kaspersky (GReAT) telah mengungkap kerangka malware bernama OkoBot. Kerangka ini mencakup lebih dari 20 jenis program jahat dan implantasi yang bekerja sama melalui terowongan SSH, khusus dirancang untuk mencuri frasa pemulihan dompet cryptocurrency, cookie browser, dan kata sandi akun, telah menyusup ke ratusan pengguna di 25 negara di seluruh dunia.

Kerangka OkoBot: 20 Program Jahat Bekerja Sama
OkoBot bukanlah satu program jahat tunggal, melainkan satu set kerangka serangan modular. Kaspersky merinci rantai infeksi lengkap dalam laporan teknis Securelist: TookPS downloader bertanggung jawab atas invasi awal → SSHbot mengumpulkan informasi sistem dan membangun terowongan balik → HDUtil launcher menerapkan berbagai modul jahat → akhirnya mengirimkan data yang dicuri melalui SFTP.

Kerangka ini mencakup lima jenis ekstensi utama:

• CMD Wrapper (10xx): Menjalankan kode instruksi dan instruksi individu di sistem
• PowerShell Wrapper (11xx): Mendukung eksekusi kode instruksi PowerShell
• Environment Enumerator (12xx): Mengumpulkan informasi sistem, sesi aktif, dan proses
• Downloader (14xx): Mengunduh muatan tambahan dari blob biner Base64 yang tertanam atau URL
• Process Injector (16xx): Menyuntikkan implantasi jahat ke dalam proses normal

SeedHunter: Mencuri Frasa Pemulihan Ledger dan Trezor
Salah satu modul inti, SeedHunter, akan memantau proses aktif di sistem dan menyuntikkan implantasi ke dalam aplikasi seperti Trezor Suite, Ledger Wallet, dan Ledger Live. Ketika mendeteksi dompet perangkat keras yang terhubung, SeedHunter akan menampilkan halaman phishing yang dikodekan keras, meminta pengguna untuk memasukkan frasa pemulihan. Halaman ini menggunakan desain yang berbeda untuk setiap jenis dompet, dan frasa pemulihan yang dicuri kemudian dikirim kembali ke server C2 dengan enkripsi RC4.

Kaspersky secara khusus mencatat dalam siaran pers resminya bahwa jalur infeksi OkoBot terutama mencakup penipuan klik ClickFix dan perangkat lunak berpura-pura yang didistribusikan melalui GitHub. Para peneliti mengidentifikasi kasus installer SQL Server Management Studio palsu yang sebenarnya menyisipkan implantasi jahat dari editor audio Audacity.

OkoSpyware: Merekam Input Keyboard dan Layar Secara Bersamaan
Modul OkoSpyware yang baru ditambahkan ke OkoBot secara bersamaan menangkap input keyboard dan aliran video dari jendela aplikasi target. Ini akan mencantumkan lebih dari 100 nama file yang dapat dieksekusi, termasuk dompet cryptocurrency seperti Exodus, Litecoin QT, pengelola kata sandi seperti KeePassXC, 1Password, serta berbagai aplikasi umum lainnya. Untuk setiap proses yang teridentifikasi, OkoSpyware menggunakan instance FFmpeg bawaan untuk merekam video MP4, sambil mencatat input tombol.

Browser juga tidak terkecuali, ketika OkoSpyware mendeteksi judul jendela halaman ekstensi dompet seperti MetaMask atau Tonkeeper, ia akan secara otomatis memulai perekaman dan pencatatan input, serta menulis judul jendela ke dalam file data JSON relay.

Aktif Selama Lebih dari Setahun, Pengembang Menjadi Target Utama
Rantai infeksi OkoBot telah beroperasi sejak April 2025, telah berlangsung lebih dari setahun, dan masih terus berevolusi. Peneliti Kaspersky mencatat bahwa negara-negara dengan pengguna yang paling banyak diserang adalah Brasil, Vietnam, Kanada, Meksiko, dan Turki. Meskipun saat ini tidak dapat memastikan keterkaitan dengan kelompok kriminal tertentu, analisis teknis menemukan jejak kode berbahasa Rusia, dan program pencurian yang digunakan malware (Rilide) beredar luas di forum kejahatan siber berbahasa Rusia.

Kaspersky memperingatkan dalam laporannya bahwa evolusi berkelanjutan kerangka OkoBot menunjukkan bahwa pemelihara latar belakang masih aktif dalam pengembangan. Dengan aktivitas distribusi yang terus berlanjut, kerangka ini memiliki potensi untuk mempengaruhi lebih banyak pengguna dan pengembang cryptocurrency.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.