Expertos de Kaspersky Lab han descubierto OkoBot, una plataforma de más de 20 módulos para robar criptomonedas y datos de billeteras. Intercepta contraseñas y pulsaciones de teclas, graba lo que sucede en la ventana de la aplicación e instala extensiones maliciosas en el navegador.

Los atacantes convencen a la persona para que ejecute un comando peligroso por sí misma o colocan archivos infectados en GitHub bajo la apariencia de programas normales. Uno de los cebos fue el instalador de una herramienta de Microsoft para trabajar con bases de datos.

El módulo SeedHunter es particularmente peligroso. Monitorea el lanzamiento de Trezor Suite, Ledger Wallet y Ledger Live, y luego muestra una ventana de recuperación falsa. Si se ingresa la frase semilla allí, los delincuentes obtienen acceso a los criptoactivos.

Se intentaron infecciones contra cientos de usuarios en más de 25 países, pero con mayor frecuencia ocurrieron en Brasil, Vietnam, Canadá, México y Turquía. Esta campaña ha estado en curso durante más de un año y sigue activa. Se desconoce quién está detrás de los ataques: los investigadores encontraron rastros en ruso, pero esto no es suficiente para conclusiones precisas.