卡巴斯基揭露了一个利用OkoSpyware针对加密货币用户的新软件框架

这种新型复杂框架利用TookPS窃取助记词，并借助新的OkoSpyware模块监控基于Chromium的浏览器，同时部署多种恶意软件变种，其中包括Rilide窃取器。该框架目前已针对超过25个国家的数百名受害者实施了攻击，受影响终端用户数量最多的国家包括巴西、越南、加拿大、墨西哥和土耳其。卡巴斯基专家表示，该威胁仍在活跃，主要对加密货币用户构成风险。

2026年1月，卡巴斯基全球研究与分析团队（GReAT）的专家发现多起涉及一种此前未知的恶意软件的攻击事件，该恶意软件能够捕获加密货币钱包窗口的内容。这种名为Okobot的新型复杂恶意软件框架包含超过20个恶意载荷和植入程序，旨在执行广泛的功能，包括收集本地文件、执行远程命令、下载任意浏览器扩展、窃取加密货币钱包、收集助记词和凭据、录制视频以及实施其他恶意活动。此次攻击行动中使用的一款新型植入程序是一个加载器，它通过修改浏览器内存来加载并隐藏恶意扩展。OkoBot 还包含一个新的 OkoSpyware 模块，可捕获键盘输入以及目标应用程序窗口的视频流。

目前掌握的信息尚不足以将此次攻击行动溯源至任何已知的威胁行为者。但此次攻击所采用的技术和信息窃取工具在讲俄语的威胁行为者中被广泛使用，技术分析还发现了代码中存在俄语痕迹。

初始感染通常通过两种主要途径发生：一是ClickFix攻击——攻击者利用社会工程学手段诱骗用户运行恶意代码。另一种途径是通过GitHub以合法软件为幌子分发恶意软件。在调查过程中，研究人员发现了一起此类案例，攻击者使用一个伪装成SQL Server Management Studio（SSMS）安装程序的文件，SSMS是一款广泛使用的微软数据库管理工具。

该恶意框架包含一个名为SeedHunter的恶意软件组件，该组件会监控系统中的活跃进程，并将植入程序注入Trezor Suite、Ledger Wallet和Ledger Live——这些是用于管理加密货币资产的官方应用程序。当其检测到已连接的Trezor或Ledger硬件钱包时，它会触发钩子函数，显示一个硬编码的网络钓鱼页面，旨在窃取用户的助记词，并针对每种钱包类型使用不同的布局。

“OkoBot攻击活动已持续一年多，截至2026年7月仍在进行中。目前发现的感染途径表明，开发人员是其主要攻击目标之一。尤其值得关注的是该恶意软件的持续演变，这表明该框架正在被积极维护。随着分发活动持续进行，该攻击活动在短期内有可能触及更多用户，并扩展到更多国家，”卡巴斯基全球研究与分析团队俄罗斯和独联体地区负责人Dmitry Galov表示。

为了确保安全，卡巴斯基全球研究与分析团队专家建议用户：

·切勿遵循来自未经验证来源的指示，在设备上部署未知代码，无论这些指示是直接提供还是在教程中找到的。攻击者经常利用这种手段感染系统，这可能会导致数据丢失，甚至导致失去对设备的控制。

·在所有计算机和移动设备上使用强大的安全解决方案，例如卡巴斯基优选版。这类解决方案会向您发出警告并防止感染。

·安全管理敏感数据：避免将密码或恢复短语存储在相册或备忘录中；建议使用专门的、值得信赖的密码管理器，例如卡巴斯基密码管理器。

·切勿为安装软件而禁用反病毒软件或安全工具，下载游戏模组、作弊程序或第三方工具时请务必保持谨慎。

·保持操作系统和应用程序更新，使用高强度并且不同的密码，并在可能的情况下启用多因素身份验证。

关于全球研究与分析团队

全球研究与分析团队（GReAT）成立于 2008 年，是卡巴斯基的核心部门，负责揭露 APT、网络间谍活动、重大恶意软件、勒索软件和全球地下网络犯罪趋势。目前，GReAT 由 35名以上专家组成，他们在欧洲、俄罗斯、美洲、亚洲和中东等全球范围内工作。这些才华横溢的安全专业人员为公司的反恶意软件研究和创新发挥着领导作用，他们以无与伦比的专业知识、热情和好奇心致力于发现和分析网络威胁。

关于卡巴斯基

卡巴斯基是一家成立于1997年的全球网络安全与数字隐私公司。凭借其网络免疫概念，卡巴斯基致力于推动行业创新，保护消费者、企业、关键基础设施及政府机构免受网络威胁。迄今为止，已有超过十亿台设备受到卡巴斯基的保护。

卡巴斯基确保“忠于业务”的网络安全，专注于提供明确的结果、保护营收、减轻工作负载并防止系统停机。卡巴斯基深厚的威胁情报和安全专业知识不断转化为适用于各种规模组织（从小型企业到大型企业）的创新解决方案和服务，将经过验证的 AI 驱动防护技术与简单的管理和专家支持相结合。

卡巴斯基广受独立测试机构认可，并获得全球数百万个人用户及近20万家企业的信赖。我们助力客户更早发现威胁、更快做出响应，并以更大的信心和自由度开展业务，从而保护客户最核心的价值。