Eine neue, hochentwickelte Schadsoftware namens OkoBot nimmt weltweit Nutzer von Kryptowährungen ins Visier. Das Framework kann mehr als 20 schädliche Payloads verteilen. Diese stehlen Wiederherstellungsphrasen, Anmeldedaten, Browser-Cookies und andere sensible Informationen.
Die Kampagne nutzt mehrere Methoden, um Geräte zu infizieren. Dazu gehören gefälschte Software-Repositories und ClickFix-Angriffe. Letztere bringen Nutzer dazu, schädliche Befehle selbst auszuführen.
Sobald OkoBot in ein Windows-System eingedrungen ist, startet eine komplexe Infektionskette. Ihr Ziel besteht darin, den Zugriff aufrechtzuerhalten und unbemerkt Daten zu sammeln.
Sicherheitsforscher entdeckten die aktuellen Aktivitäten erstmals im Januar 2026. Die Kampagne entwickelte sich jedoch aus einer früheren Operation mit dem schädlichen PowerShell-Downloader TookPS.
Gefälschte Software verbreitet OkoBot
Die Angreifer verbreiten OkoBot über ClickFix-Kampagnen und schädliche GitHub-Repositories. Diese scheinen legitime Programme anzubieten. Daher können sie leicht das Vertrauen potenzieller Opfer gewinnen.
In einem Fall gab ein Repository vor, SQL Server Management Studio anzubieten. Der Download enthielt jedoch eine veränderte Version des Audioeditors Audacity. Die Angreifer hatten eine schädliche Komponente in eine der Programmbibliotheken eingebettet.
Das Repository erschien zudem weit oben in den Suchergebnissen für Personen, die nach dem Datenbankprogramm suchten. Nutzer konnten die Seite daher leicht für eine legitime Downloadquelle halten.
Beide Infektionsmethoden starten schließlich TookPS. Das schädliche PowerShell-Skript installiert SSH-Komponenten und verbindet das Gerät mit einem Server unter der Kontrolle der Angreifer.
SSH-Bot sammelt Daten von infizierten Computern
Nach der ersten Infektion verbindet sich ein automatisierter SSH-Bot mit dem betroffenen Computer. Anschließend sammelt er Informationen über das Gerät und dessen Sicherheitsumgebung.
Zu den erfassten Daten gehören:
- Der Windows-Benutzername
- Die Version des Betriebssystems
- Die IP-Adresse des Geräts
- Installierte Antivirenprogramme
- Browserprofile und Cookies
- Gespeicherte Kontodaten
- Dateien von Krypto-Wallets
Der Bot deaktiviert außerdem die Benachrichtigungen von Windows Defender. Dadurch bemerkt der Nutzer möglicherweise keine Warnungen vor verdächtigen Änderungen.
Zusätzlich können die Angreifer den Remote-Desktop-Zugriff aktivieren und einen Reverse-SSH-Tunnel einrichten. Dadurch erhalten sie einen weiteren Zugang zum infizierten System. Anschließend lädt der Bot über SFTP zusätzliche schädliche Komponenten herunter.
SeedHunter greift Nutzer von Hardware-Wallets an
SeedHunter gehört zu den gefährlichsten Modulen von OkoBot. Es richtet sich gegen die Anwendungen Trezor Suite, Ledger Wallet und Ledger Live.
Das Modul schleust schädlichen Code in diese Programme ein. Sobald es eine verbundene Hardware-Wallet erkennt, kann es eine gefälschte Wiederherstellungsseite anzeigen. Dort fordert es das Opfer zur Eingabe seiner Wiederherstellungsphrase auf.
Nach der Eingabe wird die Phrase direkt an die Angreifer gesendet. Eine Wiederherstellungsphrase ermöglicht die vollständige Kontrolle über die zugehörige Krypto-Wallet. Kriminelle können daher das gesamte verfügbare Guthaben an eine andere Adresse übertragen.
Kryptotransaktionen lassen sich normalerweise nicht rückgängig machen. Deshalb haben Opfer kaum eine Chance, ihre Vermögenswerte nach der Übertragung zurückzuerhalten.
Versteckte Browser-Erweiterungen stehlen Anmeldedaten
Eine weitere OkoBot-Komponente greift Chromium-basierte Browser an. Sie installiert unbemerkt schädliche Erweiterungen und verbirgt diese anschließend in der Erweiterungsliste des Browsers.
Eine der im Rahmen der Kampagne eingesetzten Erweiterungen heißt Rilide. Dieser Informationsdieb kann Anmeldedaten, Sitzungscookies, Finanzinformationen und kryptobezogene Daten sammeln.
Da die Erweiterung verborgen bleibt, bemerkt der Nutzer möglicherweise nichts Ungewöhnliches. Gleichzeitig funktionieren die anderen Browser-Erweiterungen weiterhin normal.
Das Framework kann zudem schädliche Komponenten in legitime Prozesse einschleusen. Dadurch arbeitet es unauffällig und erschwert gleichzeitig seine Erkennung.
Keylogger erstellt Screenshots und überwacht die Zwischenablage
Das Modul MC Keylogger überwacht weit mehr als nur Tastatureingaben. Es zeichnet auch Aktivitäten in der Zwischenablage auf, darunter kopierte Texte, Bilder und Dateipfade.
Darüber hinaus überwacht das Modul angeschlossene USB-Geräte. Es kann Gerätekennungen, Herstellerinformationen und weitere Hardwaredaten erfassen.
OkoBot kann außerdem alle fünf Minuten Screenshots erstellen. Dadurch erhalten die Angreifer möglicherweise sensible Informationen, selbst wenn der Nutzer diese weder eingibt noch kopiert.
Eine weitere Komponente namens OkoSpyware überwacht rund 100 Anwendungen. Zu den Zielen gehören Krypto-Wallets und Passwortmanager. Die Komponente kann Videos von aktiven Programmfenstern aufnehmen und gleichzeitig Tastatureingaben protokollieren.
Kampagne erreicht Opfer auf der ganzen Welt
Die meisten identifizierten Opfer befinden sich in Brasilien. Infektionen wurden jedoch auch in Vietnam, Kanada, Mexiko und der Türkei entdeckt. Die Forscher stufen die Kampagne daher als global ein.
Die frühere TookPS-Operation begann im März 2025. Später veränderten die Angreifer die Infektionskette und ergänzten weitere Werkzeuge. Sicherheitsforscher verfolgen das weiterentwickelte Framework inzwischen unter dem Namen OkoBot.
Bisher konnte die Kampagne keiner bestimmten Cybercrime-Gruppe zugeordnet werden. Mehrere Hinweise deuten jedoch auf eine mögliche Verbindung zu russischsprachigen Angreifern hin.
Die Server zur Auslieferung der Schadsoftware senden beispielsweise keine Payloads an IP-Adressen in Russland oder der Gemeinschaft Unabhängiger Staaten. Die Forscher fanden außerdem russischsprachige Kommentare im Quellcode von SeedHunter. Darüber hinaus tauchte einer der beteiligten Informationsdiebe auf geschlossenen russischen Cybercrime-Foren auf.
Nutzer sollten Wiederherstellungsanfragen misstrauen
Anwendungen für Krypto-Wallets sollten Nutzer nicht unerwartet zur Eingabe ihrer vollständigen Wiederherstellungsphrase auffordern. Jede plötzlich erscheinende Anfrage dieser Art sollte daher als möglicher Angriff betrachtet werden.
Nutzer sollten außerdem keine Programme aus unbekannten Repositories herunterladen. Das gilt auch dann, wenn die Seiten weit oben in den Suchergebnissen erscheinen. Stattdessen sollten Programme direkt von der offiziellen Website des Entwicklers oder aus einem verifizierten Repository stammen.
Schließlich sollten Nutzer niemals unbekannte Befehle in PowerShell oder ein anderes Terminal einfügen. ClickFix-Angriffe funktionieren nur, wenn das Opfer die Infektion selbst startet.
Die OkoBot-Kampagne ist weiterhin aktiv. Der modulare Aufbau, die versteckten Browser-Erweiterungen und die umfangreichen Überwachungswerkzeuge machen die Bedrohung besonders gefährlich. Der gezielte Diebstahl von Wiederherstellungsphrasen stellt zudem ein erhebliches Risiko für Nutzer von Kryptowährungen dar.
0 Kommentare zu „OkoBot-Malware nutzt 20 Payloads, um Kryptowährungen zu stehlen“