Kaspersky GReAT OkoBot zərərli proqram çərçivəsini açdı: Kriptovalyuta cüzdanlarının bərpa sözlərini, brauzer cookie-lərini və s. oğurlamaq üçün xüsusi hazırlanmışdır

Kripto dünyası (120btc.CoM): Kaspersky Qlobal Araşdırma və Təhlil Komandası (GReAT) OkoBot adlı zərərli proqram çərçivəsini açdı. Bu çərçivə 20-dən çox zərərli proqram və implantdan ibarətdir, SSH tuneli vasitəsilə birgə işləyir, kriptovalyuta cüzdanlarının bərpa sözlərini, brauzer cookie-lərini və hesab parollarını oğurlamaq üçün xüsusi hazırlanmışdır və dünya üzrə 25 ölkədə yüzlərlə istifadəçiyə nüfuz edib.

OkoBot çərçivəsi: 20 zərərli proqram birgə fəaliyyət göstərir

OkoBot tək bir zərərli proqram deyil, tamamilə modul şəklində hücum çərçivəsidir. Kaspersky Securelist texniki hesabatında tam infeksiya zəncirini ətraflı şəkildə açıqlayıb: TookPS yükləyicisi ilkin hücumu həyata keçirir → SSHbot sistem məlumatlarını toplayır və geri tunel yaradır → HDUtil yükləyicisi müxtəlif zərərli modulları yerləşdirir → nəticədə SFTP vasitəsilə oğurlanmış məlumatları geri göndərir.

Çərçivə beş əsas əlavədən ibarətdir:

• CMD qablaşdırıcısı (10xx): Sistem daxilində əmrləri və fərdi əmrləri yerinə yetirir
• PowerShell qablaşdırıcısı (11xx): PowerShell əmrlərinin icrasını dəstəkləyir
• Mühit siyahısı (12xx): Sistem məlumatlarını, aktiv sessiyaları və prosesləri toplayır
• Yükləyici (14xx): Daxil edilmiş Base64 ikili blob və ya URL-dən əlavə yük yükləyir
• Proses inyektor (16xx): Zərərli implantları normal proseslərə daxil edir

SeedHunter: Ledger və Trezor bərpa sözlərini oğurlayır

Bu çərçivənin əsas modullarından biri olan SeedHunter sistemdəki aktiv prosesləri izləyir və Trezor Suite, Ledger Wallet və Ledger Live kimi tətbiqlərə implantları daxil edir. Bağlı hardware cüzdanı aşkar edildikdə, SeedHunter hardcoded phishing səhifəsini göstərir və istifadəçidən bərpa sözlərini daxil etməsini tələb edir. Bu səhifə hər cüzdan növü üçün fərqli dizayn istifadə edir, oğurlanan bərpa sözləri daha sonra RC4 şifrələmə ilə C2 serverinə göndərilir.

Kaspersky rəsmi mətbuat açıqlamasında xüsusi olaraq qeyd edir ki, OkoBot-un infeksiya yolları əsasən ClickFix klik fırıldağı və GitHub-da paylaşılan maskalanmış proqramlar vasitəsilədir. Araşdırmaçılar saxta SQL Server Management Studio quraşdırma proqramlarının nümunələrini aşkar ediblər ki, əslində zərərli implantları daxil edilmiş Audacity audio redaktoru idi.

OkoSpyware: Eyni anda klaviatura və ekranı qeyd edir

OkoBot-un ən son əlavə olunan OkoSpyware modulu eyni anda klaviatura girişlərini və hədəf tətbiq pəncərələrinin video axınını ələ keçirir. O, 100-dən çox icra edilə bilən fayl adını siyahıya alır, bunlara Exodus, Litecoin QT kimi kriptovalyuta cüzdanları, KeePassXC, 1Password kimi parol menecerləri və müxtəlif adi tətbiqlər daxildir. Hər tanınan proses üçün OkoSpyware daxili FFmpeg nümunəsindən istifadə edərək MP4 video qeyd edir, eyni zamanda düymə girişlərini qeyd edir.

Brauzer də istisna deyil, OkoSpyware MetaMask və ya Tonkeeper kimi cüzdan genişləndirmə pəncərələrinin başlığını aşkar etdikdə, avtomatik olaraq video çəkilişini və giriş qeydini başladır və pəncərə başlığını JSON-da qeyd edir.

Bir ildən çox müddət ərzində aktivdir, inkişaf etdiricilər əsas hədəfdir

OkoBot-un infeksiya zənciri 2025-ci ilin aprelində fəaliyyətə başlayıb, bu günə qədər bir ildən çox müddət keçib və hələ də davam edir. Kaspersky araşdırmaçıları hücuma məruz qalan istifadəçilərin ən çox olduğu ölkələri Braziliya, Vyetnam, Kanada, Meksika və Türkiyə kimi göstərir. Hal-hazırda spesifik cinayət qruplarına aid olduğu müəyyən edilə bilmir, lakin texniki analiz rus dilli kod izlərini aşkar edib və zərərli proqramın istifadə etdiyi oğurluq proqramı (Rilide) rus dilli kiber cinayət forumlarında geniş yayılmışdır.

Kaspersky hesabatında xəbərdarlıq edir ki, OkoBot çərçivəsinin davamlı inkişafı arxa planda olanların hələ də aktiv inkişaf etdiyini göstərir. Paylama fəaliyyətinin davam etməsi ilə bu çərçivə daha çox kriptovalyuta istifadəçiləri və inkişaf etdiricilərinə təsir edə bilər.