Kaspersky descobre malware OkoBot que rouba carteiras de criptomoedas

A empresa de cibersegurança Kaspersky identificou um novo framework de malware que visa investidores de criptomoedas. Batizado de “OkoBot”, o malware inicia uma cadeia de infecção com táticas de engenharia social, como o ClickFix, que engana usuários para executar comandos maliciosos, ou aplicativos do GitHub trojanizados que instalam um backdoor nos dispositivos. O relatório, divulgado na quarta-feira, detalha que o malware pode roubar arquivos de carteiras de criptomoedas, dados de navegador e credenciais de usuário, além de injetar extensões maliciosas e capturar janelas de aplicativos de carteira para subtrair ativos.

Como o OkoBot se diferencia de campanhas anteriores? A Kaspersky afirmou que o OkoBot evoluiu de uma campanha anterior chamada “TookPS”, identificada em 2025, que distribuía um Trojan downloader por meio de sites de software falsos. A diferença crucial é que o novo framework orquestra todos os 20 payloads maliciosos por meio de um túnel SSH, permitindo o transporte remoto de dados de computadores infectados para máquinas controladas pelos atacantes. Desde janeiro de 2026, a Kaspersky registrou múltiplos ataques envolvendo essa família de malware.

Paralelamente, uma campanha separada está mirando desenvolvedores Web3 por meio de falsas oportunidades de recrutamento no LinkedIn, conforme alertou a empresa de segurança blockchain SlowMist. Os atacantes contatam desenvolvedores de blockchain se passando por recrutadores Web3 e enviam repositórios falsos do GitHub, alegando conter um produto mínimo viável que precisa ser testado antes da entrevista. O fluxo de trabalho imita uma entrevista técnica legítima, dificultando a detecção do ataque.

O malware dessa campanha tem como objetivo entregar um “trojan de acesso remoto” completo, infectando dispositivos e permitindo que os atacantes roubem chaves de projetos, credenciais de nuvem ou dados de extensões de carteira. A SlowMist destacou que “esse ataque não é um caso isolado” e que incidentes recentes mostram que “os atacantes estão cada vez mais usando cenários como recrutamento, revisão de código e colaborações em projetos para enganar desenvolvedores a executar repositórios maliciosos”.

O alerta veio um dia após a SlowMist ter advertido sobre outra campanha de malware direcionada a usuários de macOS, que visa roubar credenciais e sequestrar sessões do Telegram para, em última instância, enganar investidores a inserirem suas frases de recuperação de carteira em sites falsos.

Perguntas frequentes ### Como o OkoBot infecta os dispositivos das vítimas? O OkoBot utiliza táticas de engenharia social como ClickFix, que induz o usuário a executar comandos maliciosos, ou aplicativos do GitHub trojanizados que instalam um backdoor. Após a infecção, o malware pode roubar arquivos de carteira, dados de navegador e credenciais, além de injetar extensões e capturar janelas de aplicativos de carteira. ### O que diferencia a campanha de recrutamento falso contra desenvolvedores Web3? A campanha usa o LinkedIn para abordar desenvolvedores se passando por recrutadores Web3, enviando repositórios falsos do GitHub que simulam um teste técnico legítimo. O malware entregue é um trojan de acesso remoto que rouba chaves de projetos, credenciais de nuvem e dados de extensões de carteira.