Kaspersky a dévoilé OkoBot, un logiciel malveillant vieux d'un an qui utilise environ 20 modules pour voler des phrases de récupération de portefeuille cryptographique et qui a affecté des utilisateurs dans au moins cinq pays.
Résumé
- Kaspersky a découvert OkoBot en utilisant environ 20 modules pour voler les informations d'identification du portefeuille crypto.
- Le malware a touché des utilisateurs au Brésil, au Vietnam, au Canada, au Mexique et en Turquie.
- OkoBot utilise de faux écrans de récupération, des enregistreurs de frappe, des logiciels espions et des commandes ClickFix pour cibler les victimes.
Les chercheurs de Kaspersky ont découvert que le malware était resté actif depuis plus d'un an, selon un rapport publié par Bits.media. La plupart des victimes identifiées se trouvaient au Brésil, au Vietnam, au Canada, au Mexique et en Turquie, tandis que les opérateurs bloquaient les adresses IP de Russie et d'autres pays de la Communauté des États indépendants.
Distribué via les référentiels GitHub, OkoBot est déguisé en logiciel légitime, notamment Microsoft SQL Server Management Studio. Kaspersky a découvert que les attaquants s'appuient sur la méthode d'ingénierie sociale ClickFix, qui incite les victimes à exécuter des commandes malveillantes sur leurs propres appareils.
La technique présente souvent aux utilisateurs de faux messages d’erreur, étapes de vérification ou instructions de réparation. En suivant ces instructions, les victimes exécutent du code qui installe le logiciel malveillant sans se rendre compte que la commande est malveillante.
OkoBot cible les phrases de départ et les informations d'identification du portefeuille
Parmi les modules d'OkoBot, SeedHunter affiche une fausse interface de récupération liée à des portefeuilles matériels tels que Ledger et Trezor, selon Kaspersky. Lorsque les utilisateurs saisissent leurs phrases de récupération sur l'écran frauduleux, le module envoie les informations aux opérateurs de logiciels malveillants.
Un deuxième module appelé MC Keylogger enregistre les saisies au clavier et surveille l'activité du presse-papiers, lui permettant de capturer les mots de passe, les adresses de portefeuille copiées et d'autres informations d'identification. OkoSpyware peut suivre les mots de passe des portefeuilles et enregistrer des vidéos de fenêtres ouvertes, offrant ainsi aux attaquants un autre moyen d'observer l'activité sur un appareil infecté.
Une fois qu'une phrase de récupération est exposée, les attaquants peuvent l'utiliser pour prendre le contrôle du portefeuille associé et déplacer ses actifs. Kaspersky a averti que les victimes ont peu de chances de récupérer la cryptomonnaie volée, car les transferts blockchain sont généralement irréversibles.
La conception modulaire du malware permet également à ses opérateurs de collecter différents types d'informations à partir d'un seul système infecté. Selon les conclusions de la société de sécurité, OkoBot peut cibler à la fois les données d'accès au portefeuille et les informations d'identification connectées à d'autres services utilisés sur l'appareil.
Les attaques ClickFix ont également ciblé les développeurs de cryptographie
OkoBot est la dernière campagne de malware trouvée utilisant ClickFix contre le secteur des crypto-monnaies. Comme crypto.news l'a rapporté en avril, le groupe Lazarus, soutenu par l'État nord-coréen, a utilisé la même technique dans une campagne macOS connue sous le nom de « Mach-O Man ».
Citant des recherches de CertiK, le rapport révèle que Lazarus a envoyé de fausses invitations à des réunions en ligne aux dirigeants de la fintech et de la cryptographie. Les victimes ont été invitées à coller de prétendues commandes de réparation ou de vérification dans le terminal macOS, qui installait des logiciels malveillants capables de voler des crypto-monnaies et des informations sur l'entreprise.
CertiK a également constaté que la boîte à outils Mach-O Man s'est supprimée après son exécution, ce qui rend l'analyse médico-légale plus difficile. La campagne combinait l’ingénierie sociale avec des commandes au niveau du terminal au lieu de s’appuyer uniquement sur des téléchargements de fichiers malveillants.
Les outils de développement ont fourni une autre voie vers les systèmes de cryptographie. En mai, crypto.news a rapporté que le malware TrapDoor était distribué via des progiciels empoisonnés ciblant les développeurs de crypto-monnaie, de finance décentralisée, d'intelligence artificielle et d'infrastructure de sécurité.
Selon ce rapport, TrapDoor recherchait des données de portefeuille, des clés API, des informations d'identification cloud et un accès SSH liés à des services et des écosystèmes, notamment Coinbase, Binance, MetaMask, Brave, Solana, Sui et Aptos. Les chercheurs ont également découvert des invites cachées conçues pour manipuler Claude et Cursor afin qu'ils exécutent de fausses analyses de sécurité qui révélaient des secrets et les transmettaient aux attaquants.