Kaspersky GReAT наткнулась на вредоносную платформу OkoBot. Она охотится и за владельцами криптокошельков Ledger и Trezor, и за ИТ-специалистами. По данным исследователей, кампания идёт уже больше года и до сих пор жива. Внутри не один троян, а конструктор из более чем 20 модулей: кража учётных данных, сид-фраз, кейлоггер, установка вредоносных расширений для браузера. И это только часть набора.
Один из самых неприятных сценариев у них выглядит почти буднично. OkoBot следит за запуском приложений для аппаратных кошельков Trezor и Ledger, после чего подсовывает фальшивую страницу восстановления доступа. Дальше всё сводится к одной вещи: заставить человека ввести сид-фразу. После этого кошелёк уже можно восстановить на устройстве злоумышленника.
Распространяют платформу через социальную инженерию, в том числе по схеме ClickFix, и через GitHub, где вредоносные файлы маскируют под обычное ПО. Для атак на разработчиков это удобный маршрут: люди привыкли брать оттуда утилиты, тестовые сборки, вспомогательные инструменты и не всегда долго проверяют, что именно скачали. В Kaspersky отдельно отмечают, что среди целей кампании заметно выделяются разработчики и другие ИТ-специалисты.
Попытки атак зафиксировали более чем в 25 странах, среди них Бразилия, Вьетнам, Канада, Мексика и Турция. Исследователи нашли и русскоязычные артефакты — это может говорить о происхождении участников кампании, хотя прямым доказательством такие следы не считаются. Сам набор функций у OkoBot вполне типичен для инфостилера, но ставка на аппаратные кошельки делает историю особенно дорогой для жертвы: одна введённая сид-фраза способна обнулить баланс за минуты.
Интерес к таким атакам растёт вместе с крипторынком. По оценке Chainalysis, в 2024 году адреса, связанные с незаконной активностью, получили не менее 40,9 млрд долларов. Аппаратные кошельки давно были в зоне риска для фишинга: после утечки клиентской базы Ledger в 2020 году пользователям годами приходили письма и сайты-двойники с просьбой ввести seed-фразу. OkoBot просто развивает ту же схему, только делает её модульной и удобной для массового развёртывания.