Kaspersky a découvert un nouveau framework de malware ciblant les investisseurs en crypto-monnaie.
Surnommé « OkoBot », le malware initie une chaîne d'infection qui commence par des tactiques d'ingénierie sociale telles que ClickFix, qui incite les utilisateurs à exécuter des commandes malveillantes, ou des applications GitHub trojanisées qui fournissent une porte dérobée aux appareils infectés, a écrit la société de cybersécurité dans un rapport publié mercredi.
Le malware peut récolter des fichiers de portefeuille cryptographique, des données de navigateur et des informations d'identification d'utilisateur, injecter des extensions malveillantes et capturer des fenêtres d'application de portefeuille pour voler des actifs. Kaspersky a déclaré avoir identifié plusieurs attaques impliquant cette famille de logiciels malveillants depuis janvier 2026.
Kaspersky a ajouté que le framework de malware a évolué à partir de « TookPS », une campagne de malware identifiée pour la première fois en 2025 qui distribuait un téléchargeur de cheval de Troie via de faux sites Web de logiciels, et qu'elle ouvrait la porte à des attaques de copie.
Elle diffère des campagnes précédentes en orchestrant les 20 charges utiles malveillantes via un tunnel SSH, qui permet le transport à distance de données depuis des ordinateurs infectés vers des machines distantes contrôlées par des attaquants.
Chaîne d'infection originale d'OkoBot. Source : Kaspersky
De fausses campagnes de recrutement LinkedIn ciblent les développeurs Web3 avec des logiciels malveillants
Par ailleurs, selon SlowMist, une nouvelle campagne de malware cherche à infiltrer les appareils des développeurs Web3 via de fausses opportunités de recrutement sur LinkedIn.
Les attaquants contactent les développeurs de blockchain via LinkedIn, se faisant passer pour des recruteurs Web3. Ils envoient ensuite de faux référentiels GitHub aux victimes, affirmant qu'ils contenaient le produit minimum viable qui devait être essayé avant l'entretien, a déclaré la société de sécurité blockchain dans un rapport samedi.
Le flux de travail ressemble beaucoup à un entretien technique légitime au cours duquel les développeurs extraient du code, installent des dépendances et lancent un projet, ce qui rend difficile la détection de l'attaque, selon SlowMist.
En rapport: Le Royaume-Uni condamne 2 pirates informatiques liés à un programme de rançon cryptographique de 115 millions de dollars
Le malware vise à fournir un « cheval de Troie d'accès à distance » complet qui infecte les appareils, permettant aux attaquants de voler les clés de projet, les informations d'identification cloud ou les données d'extension de portefeuille de ces développeurs.
« Cette attaque n'est pas un cas isolé », a écrit SlowMist, ajoutant que des incidents récents illustrent que « les attaquants exploitent de plus en plus des scénarios tels que le recrutement, la révision de code et la collaboration sur des projets pour inciter les développeurs à exécuter activement des référentiels malveillants ».
Le rapport est intervenu un jour après que SlowMist a mis en garde contre une campagne de malware distincte ciblant les utilisateurs de macOS, visant à voler leurs informations d'identification et à détourner leurs sessions Telegram pour finalement inciter les investisseurs à saisir leurs phrases de récupération de portefeuille via de faux sites Web.
Revue: L'échec de Botanix prouve-t-il que les Bitcoiners ne se soucient pas de DeFi ?