Kaspersky GReAT svela il framework malware OkoBot: progettato per rubare frasi di recupero di portafogli di criptovalute, cookie del browser e altro

Crypto Circle (120btc.CoM): Il team di ricerca e analisi globale di Kaspersky (GReAT) ha svelato un framework malware chiamato OkoBot. Questo framework include oltre 20 tipi di malware e impianti, operando in sinergia attraverso tunnel SSH, progettato specificamente per rubare le frasi di recupero dei portafogli di criptovalute, i cookie del browser e le password degli account, avendo già infiltrato centinaia di utenti in 25 paesi nel mondo.

Framework OkoBot: 20 tipi di malware collaborano
OkoBot non è un singolo malware, ma un intero framework di attacco modulare. Kaspersky ha dettagliato la catena di infezione completa nel rapporto tecnico di Securelist: il downloader TookPS è responsabile dell'invasione iniziale → SSHbot raccoglie informazioni di sistema e stabilisce un tunnel inverso → il launcher HDUtil distribuisce i vari moduli malevoli → infine, i dati rubati vengono restituiti tramite SFTP.

Il framework include cinque principali moduli:

• Wrapper CMD (10xx): esegue codici di comando e singoli comandi nel sistema
• Wrapper PowerShell (11xx): supporta l'esecuzione di codici di comando PowerShell
• Enumeratore ambientale (12xx): raccoglie informazioni di sistema, sessioni attive e processi
• Downloader (14xx): scarica payload aggiuntivi da blob binari Base64 incorporati o URL
• Iniettore di processo (16xx): inietta impianti malevoli in processi normali

SeedHunter: ruba le frasi di recupero di Ledger e Trezor
Uno dei moduli chiave, SeedHunter, monitora i processi attivi nel sistema e inietta impianti nelle applicazioni come Trezor Suite, Ledger Wallet e Ledger Live. Quando rileva un portafoglio hardware connesso, SeedHunter mostra una pagina di phishing hardcoded, chiedendo all'utente di inserire la frase di recupero. Questa pagina utilizza un design diverso per ogni tipo di portafoglio, e le frasi di recupero rubate vengono quindi inviate al server C2 tramite crittografia RC4.

Kaspersky ha sottolineato nel comunicato stampa ufficiale che i principali vettori di infezione di OkoBot includono truffe di clic ClickFix e software travestito distribuito tramite GitHub. I ricercatori hanno identificato casi di installer falsi di SQL Server Management Studio, che in realtà incorporavano impianti malevoli dell'editor audio Audacity.

OkoSpyware: registra simultaneamente tastiera e schermo
Il modulo OkoSpyware, recentemente aggiunto a OkoBot, cattura simultaneamente gli input da tastiera e lo streaming video delle finestre delle applicazioni target. Elenca oltre 100 nomi di file eseguibili, inclusi portafogli di criptovalute come Exodus e Litecoin QT, gestori di password come KeePassXC e 1Password, e varie applicazioni comuni. Per ogni processo identificato, OkoSpyware utilizza un'istanza integrata di FFmpeg per registrare video MP4, registrando anche gli input da tastiera.

I browser non fanno eccezione: quando OkoSpyware rileva il titolo della finestra di pagine di estensione di portafogli come MetaMask o Tonkeeper, avvia automaticamente la registrazione video e l'acquisizione degli input, scrivendo il titolo della finestra in un file di dati JSON.

Attivo da oltre un anno, gli sviluppatori sono il principale obiettivo
La catena di infezione di OkoBot è iniziata ad operare nell'aprile 2025, e da allora è attiva da oltre un anno, continuando a evolversi. I ricercatori di Kaspersky hanno indicato che i paesi più colpiti dagli attacchi sono Brasile, Vietnam, Canada, Messico e Turchia. Anche se attualmente non è possibile attribuire l'attacco a un gruppo criminale specifico, l'analisi tecnica ha rivelato tracce di codice di lingua russa, e il malware utilizza un programma di spionaggio (Rilide) ampiamente diffuso nei forum di crimine informatico di lingua russa.

Kaspersky ha avvertito nel rapporto che l'evoluzione continua del framework OkoBot indica che i manutentori di backend sono ancora attivamente coinvolti nello sviluppo. Con le attività di distribuzione che continuano, questo framework ha il potenziale di influenzare un numero maggiore di utenti e sviluppatori di criptovalute.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.