Новая угроза: OkoBot крадет сид-фразы и данные криптокошельков

Компания Kaspersky представила информацию о новом вредоносном ПО под названием OkoBot, которое включает около 20 модулей, предназначенных для кражи учетных данных и сид-фраз пользователей криптовалютных кошельков. Злоумышленники используют метод ClickFix, обманывая пользователей, чтобы те сами запустили вредоносную программу. OkoBot также распространяется через фальшивые репозитории на GitHub, которые маскируются под легитимные программные инструменты. Например, в одном из репозиториев предлагался инструмент SQL Server Management Studio, но на самом деле это была модифицированная версия аудиоредактора Audacity с вредоносным кодом. Специалисты Kaspersky сообщают, что OkoBot существует более года и использует скрипт PowerShell под названием TookPS. Этот скрипт устанавливает SSH-бота, который собирает информацию о пользователе, включая антивирусное программное обеспечение, IP-адрес и версию операционной системы, а также отключает уведомления Windows Defender. Бот также собирает данные о криптовалютных кошельках, cookie-файлы и учетные данные. Среди модулей OkoBot эксперты выделяют несколько наиболее опасных: модуль ext daemon/extl.exe, который внедряется в браузеры Chrome для скрытного сбора учетных данных и информации о финансах, SeedHunter, который внедряется в аппаратные кошельки, а также MC Keylogger, способный записывать нажатия клавиш и делать снимки экрана. Если злоумышленники завладевают сид-фразой пользователя, они получают полный доступ к его криптоактивам и могут в дальнейшем переводить средства на свои адреса, что делает возврат украденной криптовалюты практически невозможным. В Kaspersky отметили, что большинство пострадавших находятся в Бразилии, Вьетнаме, Канаде, Мексике и Турции, однако точная сумма украденных средств не уточняется. Также исследователи обратили внимание на то, что доступ к серверам с начальными скриптами атаки заблокирован для IP-адресов из России и стран СНГ. В прошлом году эксперты уже наблюдали случаи кражи сид-фраз у пользователей криптокошелька Phantom Wallet через мошеннические всплывающие окна, предлагающие обновить расширение и ввести свою сид-фразу.