Вредоносная программа OkoBot внедряет фишинговые фразы в приложения Ledger и Trezor.

[zender]

вредоносная программа под названием OkoBot , один из модулей которой предназначен для обмана владельцев аппаратных кошельков и выманивания у них фразы восстановления. С апреля 2025 года на компьютерах под управлением Windows работает

На зараженном компьютере запрос поступает из собственного программного обеспечения кошелька. Иногда он ожидает, пока вы сначала подключите устройство. Страница вредоносная. Приложение, которое её окружает, — это то же самое приложение, которое вы установили, а фраза — это название кошелька.

В среду команда GReAT компании Kaspersky опубликовала результаты анализа данных , зафиксировав сотни жертв в телеметрии из более чем 25 стран. Наибольшая доля атакованных пользователей приходится на Бразилию, Вьетнам, Канаду, Мексику и Турцию.

В отчете не говорится, сколько из них ввели ту или иную фразу. OkoBot содержит более 20 полезных нагрузок и имплантатов и оставался активным по состоянию на 15 июля.

SeedHunter ожидает подключения устройства.​

SeedHunter — это модуль OkoBot, который заимствует эту фразу. После установки фреймворка он отслеживает наличие Trezor Suite, Ledger Wallet и Ledger Live, внедряет код в любое из них и перехватывает внутренние механизмы Electron приложения. Затем он запрашивает управление у своего контроллера (C2). moonsand[.]store

Если сервер устанавливает WaitПри отключении флага SeedHunter сканирует USB-накопители по производителю и идентификатору продукта и остается в режиме ожидания, пока не будет подключен настоящий Ledger или Trezor. Только после этого отображается жестко закодированная страница восстановления, с одним макетом для каждой марки. При отключении флага страница появляется немедленно. Введенная фраза отправляется в собственную консоль страницы, расположенную за... @:apprintмаркер и крючкообразный mal_LogConsoleMessageПодхватывает его. Он сохраняется в формате JSON, при этом копия RC4 помещается во временный файл.


Сломается не аппаратный кошелек. Он выполняет свою основную функцию — не передает ключ, и не может помешать сопутствующему программному обеспечению запросить у вас фразу.

Ни одна из сторон этого трюка не нова. Moonlock Lab отслеживала воров macOS, использующих подмену версий, а THN освещала случаи клонирования приложений Ledger Live : AMOS уничтожила Ledger Live и внедрила троянизированный клон. /Applicationsтребуя 24 слов.




В марте GlassWorm реализовал функцию запуска USB-устройства на Windows, используя WMI для обнаружения подключающегося устройства, а затем, после завершения работы основного приложения, вывел на экран собственное окно. SeedHunter меняет место отрисовки страницы. Он оставляет приложение запущенным и рисует внутри него.

SSMS, которая на самом деле была Audacity​

Два основных пути проникновения: приманка ClickFix и троянизированное программное обеспечение на GitHub . Репозиторий, который Kaspersky разобрал, рекламировал SQL Server Management Studio. Вместо этого он распространял Audacity, аудиоредактор, пересобранный с вредоносным имплантом в одной из своих библиотек. Он занимал первое место по... SSMSОно существовало с конца марта 2025 года по июнь.


Оба пути запускают TookPS , программу для загрузки PowerShell, которую Kaspersky отслеживает с марта 2025 года , когда она использовала поддельные страницы DeepSeek, а затем поддельные сайты для загрузки бизнес-программного обеспечения . Она устанавливает SSH, устанавливает соединение с сервером, контролируемым злоумышленником, перенаправляет локальный порт демона SSH и ожидает. Позже автоматизированный SSH-бот подключается обратно через туннель.


Бот проводит инвентаризацию устройства вплоть до установленного антивируса, затем перетаскивает файлы кошелька, cookie, профили браузера и учетные данные через туннель. Он отключает уведомления Defender с помощью записи в реестр и создает себе рабочий стол:

1. Открывает брандмауэр для входящего RDP-трафика.
2. Добавляет учетную запись в группу «Пользователи удаленного рабочего стола».
3. Заменяет termsrv.dllс исправленной сборкой, которая позволяет одновременно проводить сеансы RDP.
4. Регистрирует запланированное задание под названием Apple Syncкоторый каждый час перестраивает обратный SSH-туннель для локального порта RDP.

После этого модули поступают по протоколу SFTP. Затем их запускает программа запуска HDUtil, содержащая VMProtect, которая может незаметно повышать их привилегии, обходя контроль учетных записей Windows RPC UAC, описанный Project Zero в 2019 году .


Последняя поставка — Volume2, утилита с открытым исходным кодом, содержащая вредоносный код. protobuf.dllкоторый расшифровывает и запускает реальную полезную нагрузку: диспетчер плагинов, опрашивающий свой C2 каждые 20 секунд. Kaspersky восстановил пять плагинов. Один из них — это инжектор процессов, и именно он обеспечивает работу SeedHunter.


Остальная часть комплекта предназначена для слежки. OkoSpyware отслеживает более 100 исполняемых файлов, в том числе Exodus и 1Password. Она записывает соответствующее окно в формат MP4 с помощью встроенного FFmpeg и записывает нажатия клавиш в этот файл.


Заголовки браузеров сопоставляются с помощью регулярных выражений, поэтому вкладка MetaMask или Tonkeeper записывается. MC Keylogger отслеживает ввод, буфер обмена, USB-устройства и делает снимок экрана каждые пять минут. Загрузчик устанавливает скрытые расширения Chromium при каждом предоставленном разрешении; он установил Rilide , программу для кражи Chromium, используемую русскоязычными злоумышленниками с апреля 2023 года.

Чья это платформа?​

Компания «Лаборатория Касперского» не называет имя злоумышленника: «Мы не можем связать эту вредоносную кампанию ни с одним известным злоумышленником, использующим вредоносное ПО». Серверы, на которых размещен PowerShell на первом этапе, возвращают пустой ответ на российские и СНГ IP-адреса. Rilide перемещается на закрытые русскоязычные форумы.


На фишинговых страницах SeedHunter размещены комментарии на русском языке. Это скрытые сигналы, и в отчете они рассматриваются именно так.

Нет уязвимости CVE для кошелька и нет патча от поставщика, который бы закрывал этот маршрут. Вместо этого он попадает на конечную точку, и артефакты достаточно специфичны для поиска:

• Запланированная задача с именем Apple Sync
• %PROGRAMDATA%\hwid.dat, %PROGRAMDATA%\HDVideo\HDUtil.exe, %USERPROFILE%\.ssh\go.bat
• termsrv.dllизменено по сравнению с заводской сборкой.
• Учетные записи в разделе «Пользователи удаленного рабочего стола», которые никто не добавлял.
• Исходящий SSH-трафик с пользовательских устройств.
• Расширения в Local Extension Settingsкоторые никогда не появляются в списке расширений браузера

В сообщении Kaspersky указаны хеши и домены C2. Производители проводят черту на уровне устройства. Ledger утверждает, что эта фраза никуда не распространяется, кроме самого Ledger .


Trezor Suite утверждает, что никогда не попросит вас ввести резервную копию вручную , хотя стандартное восстановление Model One принимает слова из Suite , и только когда устройство запросит это. Признаком этого является страница, которая появляется, потому что вы подключили устройство, и на экране устройства ничего нет.


Затем последовала пересборка в марте 2026 года. TeviRAT исчез. Цепочка HDUtil-extl-Rilide тоже исчезла, объединившись в единый плагин-диспетчер, выполняющий ту же работу. Volume2 теперь поставляется напрямую от TookPS. Никто не занимается очисткой кодовой базы, от которой собирается отказаться.