卡巴斯基GReAT揭密OkoBot惡意軟體框架：專門竊取加密貨幣錢包助記詞、瀏覽器cookie等

幣圈子(120btc.CoM)：卡巴斯基全球研究分析團隊(GReAT)揭密了一個名為OkoBot的惡意軟體框架。該框架包含超過20種惡意程式與植入物，透過SSH隧道協同運作，專門竊取加密貨幣錢包的助記詞、瀏覽器cookie與帳號密碼，已滲透全球25國數百名使用者。

OkoBot框架：20種惡意程式聯手作案

OkoBot不是一款單一惡意程式，而是一整套模組化的攻擊框架。卡巴斯基在Securelist技術報告中詳細拆解了完整感染鏈：TookPS下載器負責初始入侵→SSHbot收集系統資訊並建立反向隧道→HDUtil啟動器部署各惡意模組→最終透過SFTP送回竊取資料。

框架包含五種主要外掛：

• CMD包裝器(10xx)：在系統中執行指令碼與個別指令
• PowerShell包裝器(11xx)：支援PowerShell指令碼執行
• 環境列舉器(12xx)：收集系統資訊、活躍會話與行程
• 下載器(14xx)：從嵌入的Base64二進位blob或URL下載額外載荷
• 行程注入器(16xx)：將惡意植入物注入正常行程

SeedHunter：竊取Ledger與Trezor助記詞

其中一個核心模組SeedHunter會監控系統中的活躍行程，並將植入物注入Trezor Suite、Ledger Wallet和Ledger Live等應用程式。當偵測到連線的硬體錢包時，SeedHunter會顯示硬編碼的釣魚頁面，要求使用者輸入助記詞。該頁面針對每種錢包型別使用不同的版面設計，竊取到的助記詞隨後透過RC4加密送回C2伺服器。

卡巴斯基在官方新聞稿中特別指出，OkoBot的感染途徑主要包括ClickFix點選詐騙和透過GitHub發佈的偽裝軟體。研究人員識別出假SQL Server Management Studio安裝程式的案例，實際上是嵌入了惡意植入物的Audacity音訊編輯器。

OkoSpyware：同時錄製鍵盤與畫面

OkoBot最新加入的OkoSpyware模組同時捕獲鍵盤輸入與目標應用程式視窗的視頻串流。它會列出超過100個可執行檔名稱，包含Exodus、Litecoin QT等加密錢包、KeePassXC、1Password等密碼管理器，以及各種常用應用程式。對每個識別出的行程，OkoSpyware使用內建的FFmpeg例項錄製MP4視頻，同時記錄按鍵輸入。

瀏覽器也不是例外，當OkoSpyware偵測到MetaMask或Tonkeeper等錢包擴充頁面的視窗標題時，會自動啟動錄影與輸入記錄，並將視窗標題寫入JSON中繼資料檔案。

超過一年持續活躍，開發者為主要目標

OkoBot的感染鏈從2025年4月就已開始運作，至今已超過一年，且仍在持續進化。卡巴斯基研究員指出，被攻擊使用者最多的國家分別是巴西、越南、加拿大、墨西哥和土耳其。雖然目前無法確定歸因於特定犯罪集團，但技術分析發現俄語系代碼痕跡，且惡意軟體使用的竊密程式(Rilide)在俄語系的網路犯罪論壇上廣泛流通。

卡巴斯基在報告中警告，OkoBot框架的持續進化顯示後台維護者仍在積極開發。隨著分發活動持續進行，該框架有潛力影響更多加密貨幣使用者與開發者。