کاسپرسکی GReAT فریم‌ورک بدافزار OkoBot را فاش کرد: به‌طور خاص برای سرقت عبارت‌های یادآوری کیف پول‌های رمزنگاری، کوکی‌های مرورگر و غیره

دنیای ارزهای دیجیتال (120btc.CoM): تیم تحقیق و تحلیل جهانی کاسپرسکی (GReAT) فریم‌ورکی به نام OkoBot را فاش کرده است. این فریم‌ورک شامل بیش از 20 نوع بدافزار و کاشت است که از طریق تونل SSH به‌طور هماهنگ عمل می‌کند و به‌طور خاص برای سرقت عبارت‌های یادآوری کیف پول‌های رمزنگاری، کوکی‌های مرورگر و رمزهای عبور حساب‌ها طراحی شده است و به صدها کاربر در 25 کشور جهان نفوذ کرده است.

فریم‌ورک OkoBot: 20 نوع بدافزار در همکاری

OkoBot یک بدافزار واحد نیست، بلکه یک مجموعه کامل از فریم‌ورک‌های حمله ماژولار است. کاسپرسکی در گزارش فنی Securelist زنجیره کامل عفونت را به‌تفصیل تجزیه و تحلیل کرده است: دانلودکننده TookPS مسئول نفوذ اولیه → SSHbot اطلاعات سیستم را جمع‌آوری کرده و تونل معکوس را ایجاد می‌کند → راه‌انداز HDUtil ماژول‌های بدافزار را مستقر می‌کند → در نهایت از طریق SFTP اطلاعات سرقت شده را ارسال می‌کند.

این فریم‌ورک شامل پنج نوع افزونه اصلی است:

• بسته‌بند CMD (10xx): اجرای کدهای دستوری و دستورات فردی در سیستم
• بسته‌بند PowerShell (11xx): پشتیبانی از اجرای کدهای دستوری PowerShell
• جمع‌آورنده محیط (12xx): جمع‌آوری اطلاعات سیستم، جلسات فعال و فرآیندها
• دانلودکننده (14xx): دانلود بار اضافی از blob یا URL کدگذاری شده Base64
• تزریق‌کننده فرآیند (16xx): تزریق بدافزار به فرآیندهای عادی

SeedHunter: سرقت عبارت‌های یادآوری Ledger و Trezor

یکی از ماژول‌های اصلی SeedHunter است که فرآیندهای فعال در سیستم را زیر نظر دارد و بدافزار را به برنامه‌هایی مانند Trezor Suite، Ledger Wallet و Ledger Live تزریق می‌کند. هنگامی که کیف پول سخت‌افزاری متصل شناسایی می‌شود، SeedHunter صفحه فیشینگ سخت‌کد شده‌ای را نمایش می‌دهد و از کاربر می‌خواهد تا عبارت یادآوری را وارد کند. این صفحه برای هر نوع کیف پول طراحی متفاوتی دارد و عبارت‌های یادآوری سرقت شده به‌وسیله رمزگذاری RC4 به سرور C2 ارسال می‌شود.

کاسپرسکی در بیانیه خبری رسمی خود به‌ویژه اشاره کرده است که راه‌های عفونت OkoBot عمدتاً شامل کلاهبرداری‌های ClickFix و نرم‌افزارهای جعلی توزیع شده از طریق GitHub است. محققان نمونه‌هایی از نصب‌کننده‌های جعلی SQL Server Management Studio را شناسایی کرده‌اند که در واقع شامل بدافزارهای جاسازی شده در ویرایشگر صوتی Audacity هستند.

OkoSpyware: ضبط همزمان صفحه‌کلید و تصویر

ماژول جدید OkoSpyware OkoBot همزمان ورودی‌های صفحه‌کلید و جریان ویدئویی از پنجره‌های برنامه هدف را ضبط می‌کند. این ماژول بیش از 100 نام فایل اجرایی را لیست می‌کند، از جمله کیف پول‌های رمزنگاری مانند Exodus و Litecoin QT، مدیران رمز عبور مانند KeePassXC و 1Password و همچنین برنامه‌های کاربردی رایج دیگر. برای هر فرآیند شناسایی شده، OkoSpyware با استفاده از نمونه داخلی FFmpeg ویدئوی MP4 را ضبط کرده و ورودی‌های کلید را ثبت می‌کند.

مرورگرها نیز از این قاعده مستثنی نیستند، هنگامی که OkoSpyware عنوان پنجره‌های افزونه‌های کیف پول مانند MetaMask یا Tonkeeper را شناسایی می‌کند، به‌طور خودکار ضبط و ورودی را آغاز کرده و عنوان پنجره را در فایل داده‌های JSON ثبت می‌کند.

بیش از یک سال فعالیت مداوم، توسعه‌دهندگان هدف اصلی

زنجیره عفونت OkoBot از آوریل 2025 آغاز به کار کرده و اکنون بیش از یک سال است که همچنان در حال تکامل است. محققان کاسپرسکی اشاره کردند که کشورهای با بیشترین تعداد کاربران مورد حمله شامل برزیل، ویتنام، کانادا، مکزیک و ترکیه هستند. هرچند که در حال حاضر نمی‌توان به یک گروه جنایتکار خاص نسبت داد، اما تحلیل‌های فنی نشانه‌هایی از کدهای روسی را شناسایی کرده و نرم‌افزارهای بدافزاری که از برنامه‌های جاسوسی (Rilide) استفاده می‌کنند، به‌طور گسترده در انجمن‌های جرایم سایبری روسی توزیع شده‌اند.

کاسپرسکی در گزارش خود هشدار داده است که تکامل مداوم فریم‌ورک OkoBot نشان می‌دهد که نگهدارندگان آن هنوز در حال توسعه فعال هستند. با ادامه فعالیت‌های توزیع، این فریم‌ورک پتانسیل تأثیرگذاری بر تعداد بیشتری از کاربران و توسعه‌دهندگان ارزهای دیجیتال را دارد.