En avanceret ny malware kaldet OkoBot retter sig mod kryptobrugere over hele verden. Systemet kan distribuere mere end 20 skadelige nyttelaster. De stjæler gendannelsesfraser, loginoplysninger, cookies og andre følsomme oplysninger.
Kampagnen bruger flere metoder til at inficere enheder. Angriberne benytter blandt andet falske softwarearkiver og ClickFix-angreb. Sidstnævnte narrer brugerne til selv at køre skadelige kommandoer.
Når OkoBot er kommet ind i et Windows-system, starter en kompleks infektionskæde. Målet er at bevare adgangen og indsamle data uden at vække mistanke.
Sikkerhedsforskere opdagede den nuværende aktivitet i januar 2026. Kampagnen udviklede sig dog fra en tidligere operation med PowerShell-downloaderen TookPS.
Falske programmer spreder OkoBot
Angriberne spreder OkoBot gennem ClickFix-kampagner og skadelige GitHub-arkiver. Arkiverne ser ud til at tilbyde legitime programmer. Derfor kan de nemt vinde brugernes tillid.
I ét tilfælde hævdede et arkiv at tilbyde SQL Server Management Studio. Downloadfilen indeholdt dog en ændret version af lydredigeringsprogrammet Audacity. Angriberne havde placeret en skadelig komponent i et af programmets biblioteker.
Arkivet lå desuden højt i søgeresultaterne for personer, der ledte efter databaseværktøjet. Brugerne kunne derfor nemt forveksle siden med en legitim downloadkilde.
Begge infektionsmetoder starter TookPS. Det skadelige PowerShell-script installerer SSH-komponenter og forbinder enheden med en server, som angriberne kontrollerer.
SSH-bot indsamler data fra inficerede computere
Efter den første infektion opretter en automatiseret SSH-bot forbindelse til den ramte computer. Derefter indsamler den oplysninger om enheden og dens sikkerhedsopsætning.
Oplysningerne omfatter:
- Windows-brugernavnet
- Operativsystemets version
- Enhedens IP-adresse
- Installerede antivirusprogrammer
- Browserprofiler og cookies
- Gemte kontooplysninger
- Filer fra kryptotegnebøger
Botten deaktiverer også meddelelser fra Windows Defender. Dermed kan brugeren overse advarsler om mistænkelige ændringer.
Derudover kan angriberne aktivere fjernskrivebord og oprette en omvendt SSH-tunnel. Det giver dem endnu en vej ind i systemet. Botten downloader derefter flere skadelige komponenter via SFTP.
SeedHunter angriber brugere af hardwaretegnebøger
SeedHunter er et af de farligste moduler i OkoBot. Det retter sig mod programmerne Trezor Suite, Ledger Wallet og Ledger Live.
Modulet injicerer skadelig kode i programmerne. Når det registrerer en tilsluttet hardwaretegnebog, kan det vise en falsk gendannelsesside. Her bliver brugeren bedt om at indtaste sin gendannelsesfrase.
Når offeret indtaster frasen, sendes den direkte til angriberne. En gendannelsesfrase giver fuld kontrol over den tilknyttede kryptotegnebog. Kriminelle kan derfor overføre alle tilgængelige midler til en anden adresse.
Kryptotransaktioner kan normalt ikke tilbageføres. Derfor har ofrene kun en lille chance for at få deres midler tilbage efter overførslen.
Skjulte browserudvidelser stjæler loginoplysninger
En anden OkoBot-komponent retter sig mod Chromium-baserede browsere. Den installerer skadelige udvidelser i baggrunden og skjuler dem derefter fra browserens liste over udvidelser.
En af udvidelserne i kampagnen er Rilide. Informationstyven kan indsamle loginoplysninger, sessionscookies, finansielle oplysninger og kryptorelaterede data.
Fordi udvidelsen forbliver skjult, opdager brugeren måske ikke noget usædvanligt. Samtidig fortsætter de øvrige browserudvidelser med at fungere normalt.
Systemet kan også injicere skadelige komponenter i legitime processer. På den måde kan det arbejde i baggrunden og samtidig blive sværere at opdage.
Keylogger tager skærmbilleder og overvåger udklipsholderen
Modulet MC Keylogger overvåger langt mere end tastaturet. Det registrerer også aktivitet i udklipsholderen, herunder kopieret tekst, billeder og filstier.
Derudover overvåger modulet tilsluttede USB-enheder. Det kan registrere enheds-id’er, producentoplysninger og andre hardwaredata.
OkoBot kan også tage skærmbilleder hvert femte minut. Dermed kan angriberne få adgang til følsomme oplysninger, selv om brugeren aldrig skriver eller kopierer dem.
En anden komponent kaldet OkoSpyware overvåger omkring 100 programmer. Blandt målene er kryptotegnebøger og adgangskodeadministratorer. Komponenten kan optage video fra aktive programvinduer, mens den samtidig registrerer tastetryk.
Kampagnen har ramt ofre over hele verden
De fleste identificerede ofre befinder sig i Brasilien. Infektioner er dog også dukket op i Vietnam, Canada, Mexico og Tyrkiet. Forskerne beskriver derfor kampagnen som global.
Den tidligere TookPS-operation begyndte i marts 2025. Senere ændrede angriberne infektionskæden og tilføjede flere værktøjer. Sikkerhedsforskere følger nu det videreudviklede system under navnet OkoBot.
Ingen bestemt cyberkriminel gruppe er blevet knyttet til kampagnen. Flere spor peger dog på en mulig forbindelse til russisktalende angribere.
Serverne, der leverer malwaren, sender eksempelvis ikke nyttelaster til IP-adresser i Rusland eller SNG-landene. Forskerne fandt også russisksprogede kommentarer i SeedHunters kildekode. Desuden har en af informationstyvene optrådt på lukkede russiske fora for cyberkriminalitet.
Brugere bør være skeptiske over for anmodninger om gendannelse
Programmer til kryptotegnebøger bør ikke uventet bede brugeren om at indtaste hele gendannelsesfrasen. Derfor bør enhver pludselig anmodning behandles som et muligt angreb.
Brugere bør også undgå at downloade programmer fra ukendte arkiver. Det gælder, selv når siderne vises højt i søgeresultaterne. Download i stedet programmer direkte fra udviklerens officielle hjemmeside eller et verificeret arkiv.
Endelig bør brugere aldrig indsætte ukendte kommandoer i PowerShell eller en anden terminal. ClickFix-angreb er afhængige af, at offeret selv starter infektionen.
OkoBot-kampagnen er stadig aktiv. Den modulære opbygning, de skjulte browserudvidelser og de omfattende overvågningsværktøjer gør truslen særligt alvorlig. Angribernes fokus på gendannelsesfraser skaber desuden en stor risiko for kryptobrugere.
0 svar til “OkoBot-malware bruger 20 nyttelaster til at stjæle kryptovaluta”