OkoBot rouba dados e carteiras de criptomoedas

A Kaspersky identificou uma nova estrutura maliciosa denominada OkoBot, utilizada para distribuir mais de 20 cargas maliciosas (payloads) destinadas ao roubo de credenciais, carteiras de criptomoedas e outras informações sensíveis. A campanha está ativa há mais de um ano e representa uma evolução da operação TookPS, observada desde março de 2025.

Segundo a empresa de cibersegurança, os atacantes comprometem as vítimas através de campanhas ClickFix ou de repositórios fraudulentos no GitHub que se fazem passar por software legítimo. Num dos casos analisados, um repositório alegava disponibilizar o SQL Server Management Studio (SSMS), mas distribuía uma versão adulterada do editor de áudio Audacity.

A cadeia de infeção foi significativamente alterada face à campanha TookPS. O primeiro estágio continua a recorrer a um script PowerShell, mas apenas para instalar e configurar um bot SSH responsável por descarregar os restantes componentes maliciosos.

Este bot recolhe informação sobre o sistema comprometido, incluindo nome de utilizador, endereço IP, versão do sistema operativo e Software antivírus instalado. Além disso, desativa notificações do Microsoft Defender e recolhe ficheiros de carteiras de criptomoedas, cookies dos navegadores e credenciais armazenadas.

Entre os mais de 20 módulos identificados pela Kaspersky destacam-se o ext daemon, que injeta código no navegador Google Chrome para instalar extensões maliciosas como a Rilide, capaz de roubar credenciais, cookies, informação financeira e dados relacionados com criptomoedas.

Outro componente relevante é o SeedHunter, que injeta código nas aplicações Trezor Suite, Ledger Wallet e Ledger Live para apresentar um falso ecrã de recuperação de carteira, induzindo as vítimas a introduzir as respetivas frases de recuperação (seed phrases). Na posse desta informação, os atacantes obtêm controlo total sobre os ativos digitais, podendo transferi-los sem possibilidade prática de recuperação.

A campanha inclui ainda o MC Keylogger, responsável por registar todas as teclas premidas, monitorizar a área de transferência, capturar imagens do ecrã periodicamente e detetar ligações de dispositivos USB. Já o módulo OkoSpyware monitoriza cerca de uma centena de aplicações, incluindo gestores de palavras-passe e carteiras de criptomoedas, recorrendo ao FFmpeg para gravar vídeo das respetivas janelas e capturar as ações do utilizador.

Os dados de telemetria da Kaspersky indicam que a maioria das vítimas se encontra no Brasil, seguindo-se Vietname, Canadá, México e Turquia, embora a campanha tenha alcance global.

A empresa não atribui formalmente a operação a um grupo específico, mas refere vários indícios que apontam para um ator de língua russa. Entre eles estão comentários em russo presentes no código-fonte do módulo SeedHunter, a utilização de um infostealer promovido em fóruns russos de cibercrime de acesso restrito e o facto de os servidores utilizados na fase inicial bloquearem ligações provenientes da Rússia e de países da Comunidade de Estados Independentes (CEI).

A Kaspersky disponibilizou ainda um conjunto de Indicadores de Compromisso (IoC), incluindo hashes dos componentes maliciosos, domínios, endereços IP, caminhos de ficheiros e outros elementos destinados a apoiar a deteção desta campanha.