Kaspersky revela el ataque malicioso de OkoBot: más de 20 programas en equipo roban frases semilla de billeteras de criptomonedas

El equipo GReAT de Kaspersky revela el marco de malware OkoBot, con más de 20 tipos de programas maliciosos que se coordinan para robar las frases semilla de billeteras de criptomonedas, así como cookies del navegador, e incluso credenciales de cuentas; ya se ha infiltrado en 25 países y cientos de usuarios.
(Antecedentes: ¡Cuidado! Kaspersky encontró malware que roba frases semilla de billeteras en aplicaciones populares de Android e iOS)
(Añadido de contexto: el malware SparkKitty se infiltró en las tiendas de Apple y Google, robando “capturas de frases semilla” de billeteras cripto)

Tabla de contenidos

Toggle

• Marco OkoBot: 20 tipos de malware actuando en conjunto
• SeedHunter: roba frases semilla de Ledger y Trezor
• OkoSpyware: graba simultáneamente el teclado y la pantalla
• Activo de forma continua durante más de un año; el objetivo principal son los desarrolladores

El equipo global de investigación y análisis de Kaspersky (GReAT) ha revelado un marco de malware llamado OkoBot. El marco incluye más de 20 tipos de malware y componentes maliciosos, que operan en coordinación mediante túneles SSH; está diseñado específicamente para robar las frases semilla de billeteras de criptomonedas, cookies del navegador y contraseñas de cuentas, y se ha infiltrado en 25 países en todo el mundo, afectando a cientos de usuarios.

Marco OkoBot: 20 tipos de malware actuando en conjunto

OkoBot no es un solo malware, sino un conjunto completo de marcos de ataque modulares. En su informe técnico de Securelist, Kaspersky desglosa con detalle la cadena de infección completa: el descargador TookPS se encarga de la intrusión inicial → el bot SSH recopila información del sistema y establece un túnel inverso → el lanzador HDUtil despliega cada módulo malicioso → finalmente, devuelve los datos robados a través de SFTP.

El marco incluye cinco complementos principales:

• Empaquetador CMD（10xx）：ejecuta scripts y comandos individuales en el sistema
• Empaquetador de PowerShell（11xx）：admite la ejecución de scripts de PowerShell
• Enumerador de entorno（12xx）：recopila información del sistema, sesiones activas y tareas
• Descargador（14xx）：descarga cargas adicionales desde un blob binario en Base64 incrustado o desde una URL
• Inyector de tareas（16xx）：inyecta los componentes maliciosos en tareas normales

SeedHunter: roba frases semilla de Ledger y Trezor

Uno de los módulos centrales, SeedHunter, supervisa los procesos activos del sistema e inyecta los componentes en aplicaciones como Trezor Suite, Ledger Wallet y Ledger Live. Cuando detecta una billetera de hardware conectada, SeedHunter muestra una página de phishing con el contenido codificado, que solicita a los usuarios que introduzcan la frase semilla. La página usa diseños de interfaz diferentes para cada tipo de billetera; la frase semilla robada se envía posteriormente de vuelta al servidor C2 mediante cifrado RC4.

Kaspersky señaló específicamente en un comunicado oficial que las vías de infección de OkoBot principalmente incluyen el fraude de clic ClickFix y software disfrazado distribuido a través de GitHub. Los investigadores identificaron casos de instaladores falsos de SQL Server Management Studio, que en realidad estaban integrados con componentes maliciosos dentro del editor de audio Audacity.

OkoSpyware: graba simultáneamente el teclado y la pantalla

El módulo OkoSpyware, agregado recientemente a OkoBot, captura tanto la entrada del teclado como la transmisión de video de la ventana de la aplicación objetivo. Enumera más de 100 nombres de ejecutables, incluidos Exodus, Litecoin QT y otras billeteras cripto, administradores de contraseñas como KeePassXC y 1Password, y diversas aplicaciones de uso común. Para cada proceso identificado, OkoSpyware usa una instancia integrada de FFmpeg para grabar videos MP4, mientras registra también las pulsaciones del teclado.

El navegador tampoco es una excepción: cuando OkoSpyware detecta el título de la ventana de una extensión de billetera como MetaMask o Tonkeeper, inicia automáticamente la grabación y el registro de entradas, y escribe el título de la ventana en un archivo de metadatos en formato JSON.

Activo de forma continua durante más de un año; el objetivo principal son los desarrolladores

La cadena de infección de OkoBot comenzó a funcionar desde abril de 2025; hasta ahora ya supera el año y sigue evolucionando. Los investigadores de Kaspersky indicaron que los países con más usuarios atacados son Brasil, Vietnam, Canadá, México y Turquía. Aunque aún no se puede confirmar la atribución a un grupo delictivo específico, el análisis técnico encontró rastros de código en ruso, y el programa de espionaje usado por el malware (Rilide) circula ampliamente en foros de delitos informáticos en ruso.

En el informe, Kaspersky advierte que la evolución continua de la estructura de OkoBot muestra que los mantenedores del sistema siguen desarrollándola activamente. A medida que se mantengan las actividades de distribución, el marco tiene potencial para afectar a más usuarios de criptomonedas y a desarrolladores.