OkoBot-Malware: Angreifer stehlen Krypto-Zugänge aus Hardware-Wallets

Sicherheitsforscher haben eine hochentwickelte Malware namens OkoBot entdeckt, die gezielt Nutzer von Kryptowährungs-Hardware-Wallets angreift. Die mehrstufige Bedrohung ist seit mindestens Anfang 2026 aktiv und setzt auf eine Kombination aus Social Engineering und technischen Injektionsmethoden, um sensible Wiederherstellungsinformationen zu stehlen.

Infektionskette in mehreren Stufen

Das OkoBot-Framework nutzt ein komplexes Verteilungssystem, das häufig mit Social-Engineering-Taktiken beginnt – bekannt als ClickFix. Wie aus Mitteilungen von Mitte Juli hervorgeht, setzen die Angreifer zudem auf gefälschte GitHub-Repositories, die legitime Software wie den SQL Server Management Studio (SSMS) imitieren.

Wird ein Nutzer zum Download der schädlichen Dateien verleitet, durchläuft die Infektion mehrere Phasen. Ein Downloader namens TookPS, der seit dem Frühjahr 2025 in verschiedenen Varianten beobachtet wird, dient als erster Einstiegspunkt. Dieser Downloader etabliert SSH-Tunnel, um die Kommunikation mit Command-and-Control-Servern aufrechtzuerhalten. Das Framework setzt anschließend einen Launcher namens HDUtil ein, um weitere Komponenten auszuführen – darunter Browser-Erweiterungs-Loader und Überwachungsmodule.

SeedHunter: Die Jagd nach Wiederherstellungsphrasen

Das Hauptziel der OkoBot-Kampagne ist der Diebstahl von Seed-Phrasen für Kryptowährungen. Dies gelingt durch ein spezialisiertes Modul namens SeedHunter. Anders als herkömmliches Phishing, das auf gefälschte Websites setzt, überwacht SeedHunter aktiv das infizierte System auf das Vorhandensein legitimer Hardware-Wallet-Anwendungen – konkret Ledger Live, Ledger Wallet und Trezor Suite.

Sobald diese Anwendungen erkannt werden, injiziert die Malware gefälschte Wiederherstellungsseiten direkt in die Oberfläche der legitimen Software. Die Nutzer werden aufgefordert, ihre Seed-Phrasen unter dem Vorwand eines Sicherheitsupdates oder eines Geräte-Wiederherstellungsprozesses einzugeben. Die gestohlenen Zugangsdaten werden anschließend an eine von Forschern als moonsand[.]store identifizierte Remote-Domain übertragen.

Der Fall OkoBot zeigt eindrucksvoll, dass selbst Hardware-Wallets durch manipulierte Softwareoberflächen angreifbar sind, sobald das zugrunde liegende System infiziert ist. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Maßnahmen, mit denen Sie Ihr Android-Gerät effektiv vor Hackern und Schadsoftware schützen. 5 Schutzmaßnahmen jetzt entdecken

Neben SeedHunter kann das Framework mehr als 20 verschiedene Schadprogramme ausführen. Dazu gehören OkoSpyware, das Keylogging- und Videoaufzeichnungsfunktionen bietet, sowie der Rilide-Stealer und MC Keylogger. Dieses Arsenal ermöglicht es den Angreifern, dauerhaften Zugriff aufrechtzuerhalten und die Aktivitäten der Opfer weit über Kryptotransaktionen hinaus zu überwachen.

Weltweite Verbreitung und Täter im Visier

Die Analyse der Kampagne zeigt eine breite geografische Streuung: Hunderte Opfer wurden in mehr als 25 Ländern identifiziert. Die höchste Konzentration betroffener Nutzer findet sich in Brasilien, Vietnam, Kanada, Mexiko und der Türkei.

Hinweise im Code und in der Infrastruktur der Malware deuten darauf hin, dass die Betreiber wahrscheinlich russischsprachig sind. Technische Artefakte und sprachliche Marker, die während der Untersuchung entdeckt wurden, weisen auf eine finanziell motivierte Bedrohungsgruppe aus dieser Region hin.

Da Cyberkriminelle ihre Methoden ständig verfeinern, reichen klassische Passwörter oft nicht mehr aus, um Online-Konten vor unbefugtem Zugriff zu bewahren. Erfahren Sie in diesem kostenlosen Report, wie Sie mit der neuen Passkey-Technologie Ihre Sicherheit bei Diensten wie WhatsApp oder Amazon massiv erhöhen. Kostenlosen Passkey-Ratgeber herunterladen

Die Entdeckung von OkoBot fällt in einen breiteren Trend hochentwickelter Angriffe auf das Krypto-Ökosystem. Während einige Akteure in letzter Zeit KI-Werkzeuge zur Steuerung von Botnetzen und zur Betrugsbekämpfung einsetzen, zeichnet sich das OkoBot-Framework durch seinen spezifischen technischen Fokus aus: die Umgehung der Sicherheitsmechanismen von Hardware-Wallet-Oberflächen. Forscher betonen, dass das Framework Stand Juli 2026 weiterhin aktiv ist und ein anhaltendes Risiko für Besitzer digitaler Vermögenswerte weltweit darstellt.

de | wissenschaft | 69775582 |