Kaspersky descobre malware OkoBot que rouba criptomoedas de investidores

A empresa de cibersegurança Kaspersky identificou um novo framework de malware chamado OkoBot, que tem como alvo investidores de criptomoedas. O ataque combina engenharia social, como a técnica ClickFix, que engana usuários para executar comandos maliciosos, e aplicativos trojanizados no GitHub que entregam um backdoor aos dispositivos infectados. O malware pode coletar arquivos de carteiras de criptomoedas, dados de navegadores e credenciais de usuários, além de injetar extensões maliciosas e capturar janelas de aplicativos de carteira para roubar ativos.

A Kaspersky afirmou que identificou múltiplos ataques envolvendo essa família de malware desde janeiro de 2026. O OkoBot evoluiu de uma campanha anterior chamada TookPS, descoberta em 2025, que distribuía um Trojan downloader por meio de sites falsos de software. A nova versão se diferencia por orquestrar 20 cargas maliciosas através de um túnel SSH, permitindo o transporte remoto de dados de computadores infectados para máquinas controladas pelos atacantes.

Por que o OkoBot é mais perigoso que campanhas anteriores?

O OkoBot utiliza um túnel SSH para coordenar todas as 20 cargas maliciosas, o que torna a comunicação com o servidor de comando e controle mais difícil de ser detectada. Além disso, a técnica ClickFix engana usuários fazendo-os acreditar que precisam corrigir um erro falso, levando-os a executar comandos que instalam o malware. A Kaspersky alerta que o framework abre portas para ataques copiados por outros criminosos.

Separadamente, uma nova campanha de malware está visando desenvolvedores Web3 por meio de oportunidades falsas de recrutamento no LinkedIn, de acordo com a SlowMist. Os atacantes contatam desenvolvedores blockchain se passando por recrutadores de Web3 e enviam repositórios falsos no GitHub, alegando que contêm um produto mínimo viável que precisa ser testado antes da entrevista. O fluxo de trabalho se assemelha a uma entrevista técnica legítima, dificultando a percepção do ataque.

O malware tem como objetivo entregar um Trojan de acesso remoto completo que infecta dispositivos, permitindo que os atacantes roubem chaves de projetos, credenciais de nuvem ou dados de extensões de carteiras dos desenvolvedores. A SlowMist destacou que este não é um caso isolado e que os atacantes estão cada vez mais usando cenários como recrutamento, revisão de código e colaboração em projetos para enganar desenvolvedores a executar repositórios maliciosos.

O relatório da SlowMist veio um dia após a empresa alertar sobre uma campanha de malware separada direcionada a usuários de macOS, que visa roubar credenciais e sequestrar sessões do Telegram para enganar investidores a inserir suas frases de recuperação de carteiras em sites falsos.

Perguntas frequentes

Como posso me proteger do malware OkoBot?

Evite clicar em links ou executar comandos de fontes não confiáveis, especialmente aqueles que pedem para corrigir erros falsos. Não baixe aplicativos de repositórios suspeitos no GitHub e mantenha seu software de segurança atualizado. Use carteiras de hardware e ative a autenticação de dois fatores sempre que possível.

O que devo fazer se suspeitar que fui infectado?

Desconecte imediatamente o dispositivo da internet para evitar a exfiltração de dados. Execute uma varredura completa com um antivírus confiável e altere todas as senhas e chaves privadas armazenadas no dispositivo. Considere transferir seus ativos para uma nova carteira gerada em um ambiente limpo.