Kaspersky GReAT ujawnia złośliwe oprogramowanie OkoBot: specjalizujące się w kradzieży fraz odzyskiwania portfeli kryptowalutowych, ciasteczek przeglądarki i innych danych

Kryptowaluty (120btc.CoM): Zespół Global Research and Analysis Team (GReAT) firmy Kaspersky ujawnił złośliwe oprogramowanie o nazwie OkoBot. Ramy te zawierają ponad 20 rodzajów złośliwego oprogramowania i implantów, które współpracują za pośrednictwem tuneli SSH, specjalizując się w kradzieży fraz odzyskiwania portfeli kryptowalutowych, ciasteczek przeglądarki oraz haseł, a ich zasięg obejmuje setki użytkowników w 25 krajach na całym świecie.

Ramy OkoBot: 20 rodzajów złośliwego oprogramowania współpracujących

OkoBot nie jest pojedynczym złośliwym oprogramowaniem, lecz całościowym, modułowym ramem ataku. Kaspersky szczegółowo rozłożył pełny łańcuch infekcji w raporcie technicznym Securelist: downloader TookPS odpowiada za początkową inwazję → SSHbot zbiera informacje o systemie i tworzy tunel zwrotny → launcher HDUtil wdraża różne złośliwe moduły → ostatecznie przesyła skradzione dane za pośrednictwem SFTP.

Ramy te zawierają pięć głównych dodatków:

• Wrapper CMD (10xx): wykonuje kod poleceń i poszczególne instrukcje w systemie
• Wrapper PowerShell (11xx): wspiera wykonanie kodu poleceń PowerShell
• Enumerator środowiska (12xx): zbiera informacje o systemie, aktywnych sesjach i procesach
• Downloader (14xx): pobiera dodatkowe ładunki z osadzonego blobu Base64 lub URL
• Injector procesów (16xx): wstrzykuje złośliwe implanty do normalnych procesów

SeedHunter: kradzież fraz odzyskiwania Ledger i Trezor

Jednym z kluczowych modułów, SeedHunter, monitoruje aktywne procesy w systemie i wstrzykuje implanty do aplikacji takich jak Trezor Suite, Ledger Wallet i Ledger Live. Gdy wykryje podłączony portfel sprzętowy, SeedHunter wyświetla zakodowaną stronę phishingową, prosząc użytkownika o wprowadzenie frazy odzyskiwania. Strona ta ma różne układy dla każdego typu portfela, a skradzione frazy są następnie przesyłane z powrotem do serwera C2 po zaszyfrowaniu za pomocą RC4.

Kaspersky w oficjalnym komunikacie prasowym szczególnie podkreślił, że główne drogi infekcji OkoBot obejmują oszustwa ClickFix oraz fałszywe oprogramowanie dystrybuowane przez GitHub. Badacze zidentyfikowali przypadki fałszywych instalatorów SQL Server Management Studio, które w rzeczywistości zawierały złośliwe implanty w edytorze dźwięku Audacity.

OkoSpyware: jednoczesne nagrywanie klawiatury i ekranu

Najnowszym modułem dodanym do OkoBot jest OkoSpyware, który jednocześnie rejestruje wprowadzenie z klawiatury oraz strumień wideo z okna docelowej aplikacji. Wymienia ponad 100 nazw plików wykonywalnych, w tym portfele kryptowalutowe takie jak Exodus, Litecoin QT, menedżery haseł takie jak KeePassXC, 1Password oraz różne popularne aplikacje. Dla każdego zidentyfikowanego procesu OkoSpyware używa wbudowanego przykładu FFmpeg do nagrywania wideo w formacie MP4, jednocześnie rejestrując wprowadzenie z klawiatury.

Przeglądarki również nie są wyjątkiem; gdy OkoSpyware wykryje tytuł okna strony rozszerzenia portfela, takiego jak MetaMask lub Tonkeeper, automatycznie rozpoczyna nagrywanie i rejestrację wprowadzenia, zapisując tytuł okna w pliku JSON.

Aktywne przez ponad rok, deweloperzy jako główny cel

Łańcuch infekcji OkoBot rozpoczął działalność w kwietniu 2025 roku i trwa już ponad rok, a nadal ewoluuje. Badacze Kaspersky zauważyli, że najwięcej ataków dotyczy użytkowników w Brazylii, Wietnamie, Kanadzie, Meksyku i Turcji. Choć obecnie nie można przypisać tego konkretnej grupie przestępczej, analizy techniczne ujawniły ślady kodu w języku rosyjskim, a używane przez złośliwe oprogramowanie programy szpiegowskie (Rilide) są szeroko rozpowszechnione na rosyjskojęzycznych forach przestępczych.

Kaspersky ostrzega w raporcie, że ciągła ewolucja ram OkoBot wskazuje, że ich twórcy wciąż aktywnie rozwijają oprogramowanie. W miarę kontynuacji działań dystrybucyjnych, ramy te mają potencjał, aby wpłynąć na jeszcze większą liczbę użytkowników i deweloperów kryptowalut.