Cybersicherheitsforscher machen auf eine neue Welle von Malware-Taktiken aufmerksam, die sich an Menschen richtet, die kryptobezogene Software besitzen, erstellen oder dazu beraten. Kaspersky zufolge hat man beispielsweise ein neues Malware-Framework entdeckt – OkoBot genannt –, das Kryptowährungsinvestoren ins Visier nimmt, indem es Social Engineering mit Funktionen zum Diebstahl von Daten kombiniert.

Gleichzeitig warnt SlowMist vor einer separaten Einbruchskampagne, die Web3-Entwickler über scheinbar legitime Rekrutierungsnachrichten auf LinkedIn angreift und die Betroffenen dazu drängt, vergifteten Code auszuführen, der auf GitHub gehostet ist. Zusammen unterstreichen die Vorfälle, wie Angreifer zunehmend alltägliche Arbeitsabläufe – Vorstellungsgespräche, Code-Tests und App-Installationen – als Zustellmechanismen für Malware nutzen.

Wichtige Erkenntnisse

• OkoBot ist darauf ausgelegt, kryptobezogene Daten zu stehlen, indem es Wallet-Dateien, Browserinformationen, Zugangsdaten sowie injizierte Browser- oder Erweiterungsaktivitäten ausliest.

• Kaspersky sagt, es habe seit Januar 2026 mehrere OkoBot-verbundene Angriffe beobachtet und dass sich das Framework aus einer früheren Kampagne namens TookPS weiterentwickelt hat.

• OkoBot- Infrastrukturen sollen Berichten zufolge die gesamte Payload-Zustellung über einen SSH-Tunnel routen und so den Remote-Datentransfer zu attacker-gesteuerten Systemen ermöglichen.

• SlowMist berichtet von LinkedIn-basierten „Recruiter“-Betrügereien, die bösartige GitHub-Repositories als technische Interviewaufgaben für Web3-Entwickler getarnt ausliefern.

• Der Rekrutierungs-Workflow ähnelt legitimen Entwicklerinterviews so stark, dass er den Verdacht senkt und die Wahrscheinlichkeit erhöht, dass die Opfer den bösartigen Code ausführen.

OkoBot zielt auf Krypto-Inhaber durch Wallet- und Browserdiebstahl ab

In einem diese Woche veröffentlichten Bericht beschrieb Kaspersky OkoBot als Malware-Framework, das eine Infektionskette mit Social-Engineering- und „malicious app“-Zustellungs-Taktiken anstößt. Laut Kaspersky umfasst der anfängliche Einstieg Tricks wie ClickFix, die Nutzer dazu überreden sollen, schädliche Befehle auszuführen, sowie getarnte GitHub-Anwendungen, die eine Hintertür auf einem kompromittierten Gerät einführen können.

Sobald ein System unter der Kontrolle des Angreifers steht, sagt Kaspersky, dass OkoBot in der Lage ist, sensible Informationen zu sammeln, die direkt für die Krypto- Eigentümerschaft relevant sind. Das Unternehmen berichtet, dass die Malware:

• Kryptowährungs-Wallet-Dateien auslesen.

• Browserdaten und Benutzeranmeldeinformationen extrahieren.

• Bösartige Erweiterungen einfügen.

• Fenster von Wallet-Anwendungen erfassen; dies kann möglicherweise Diebstahl über Daten ermöglichen, die on-screen oder im Zusammenhang mit Sitzungen stehen.

Kaspersky erklärte außerdem, dass es seit Januar 2026 mehrere Angriffe identifiziert habe, die diese Malware-Familie nutzen. Für Investoren ist die praktische Sorge nicht nur, dass Wallets zugreifbar sein könnten, sondern auch, dass Browseraktivität und gespeicherte Authentifizierungsdaten genutzt werden können, um schneller zu Account-Übernahmen oder Übertragungsaktionen vorzudringen.

So funktioniert die Infrastruktur: Payload-Orchestrierung per SSH

Ein bemerkenswertes Detail in Kaspersky-Analyse ist, dass OkoBot angeblich von früheren Kampagnen darin abweicht, wie es seine bösartigen Payloads verwaltet. Kaspersky sagte, dass das Framework alle 20 bösartigen Payloads über einen SSH-Tunnel orchestriert, was den Remote-Transport von Daten von kompromittierten Computern zu Systemen unterstützt, die von Angreifern kontrolliert werden.

Das ist entscheidend, weil es auf ein Betriebsmodell hinweist, bei dem der Angreifer starke Kontrolle über die nachgelagerten Phasen nach der ersten Kompromittierung behält. Anstatt sich nur auf statisches Verhalten zu verlassen, kann eine getunnelte Architektur Angreifern helfen, sich an Opfer anzupassen und zuverlässiger Informationen zu sammeln – je nachdem, was die Malware auf jedem Host findet.

Kaspersky beschrieb OkoBot zudem als Weiterentwicklung von TookPS, einer Malware-Kampagne, die erstmals 2025 identifiziert wurde und einen Trojan-Downloader über gefälschte Software-Websites verteilte. Indem OkoBot von einem früheren Zustellansatz weiterentwickelt wird und eine stärker koordinierte Payload-Verarbeitung hinzufügt, scheint das OkoBot-Framework darauf ausgelegt zu sein, sowohl die Erfolgsquote von Infektionen als auch die Wirksamkeit nach der Kompromittierung zu erhöhen.

LinkedIn-Recruiting-Betrügereien drängen Web3-Entwickler dazu, vergiftete Repositories auszuführen

Eine separate Untersuchung von SlowMist konzentriert sich auf einen anderen Zielbereich: Web3-Entwickler. In einem am Samstag veröffentlichten Bericht sagte das Unternehmen, dass Angreifer Entwickler über LinkedIn-Nachrichten erreichen, die Web3-Recruiter imitieren.

Die Beschreibung des Workflows durch SlowMist deutet darauf hin, dass Angreifer bewusst einen Einstieg mit hoher Vertrauenswürdigkeit und Vertrautheit wählen. Nach der ersten Kontaktaufnahme werden den Opfern scheinbar gefälschte GitHub-Repositories geschickt, als „minimum viable product“ gerahmt, das der Entwickler installieren und vor dem Interview ausprobieren soll.

Die Technik ist effektiv, so argumentiert SlowMist, weil sie einem echten technischen Interviewprozess ähnelt. Der Bericht hält fest, dass ein legitimer Entwickler-Workflow häufig das Herunterziehen von Code, das Installieren von Abhängigkeiten und das Starten eines Projekts umfasst – Schritte, die Opfer ganz natürlich ausführen, während sie sich auf ein Interview vorbereiten. In dieser Umgebung kann bösartiger Code weniger auffällig sein, insbesondere wenn das Opfer keine Sicherheitsrisiken von einem Repository erwartet, das „mit“ einer Recruiting-Konversation verbunden ist.

Worauf Angreifer abzielen, um von Entwickler-Systemen zu stehlen

SlowMist zufolge besteht das Endziel darin, dem Opfergerät einen vollständigen Remote-Access-Trojaner zu liefern. Sobald er etabliert ist, könnte die Malware es Angreifern ermöglichen, sensible Materialien zu stehlen, die mit Entwicklung und Betrieb zusammenhängen – darunter Projekt-Schlüssel, Cloud-Zugangsdaten oder Daten, die mit Wallet-Erweiterungen verknüpft sind.

SlowMist betonte außerdem, dass der Rekrutierungsansatz Teil eines breiteren Musters ist: Angreifer nutzen zunehmend Szenarien wie Rekrutierung, Code-Reviews und Projektzusammenarbeit, um Entwickler dazu zu bringen, bösartige Repositories auszuführen. Anders gesagt geht es nicht nur um Täuschung, sondern auch um den richtigen Zeitpunkt – nämlich darauf zu warten, dass ein Entwickler sehr wahrscheinlich Code im Rahmen normaler Arbeit ausführt.

Wichtig ist: Diese Warnung mit Fokus auf LinkedIn kam, nachdem SlowMist von einer weiteren Kampagne berichtet hatte, die macOS-Nutzer angriff. Dieses frühere Vorgehen zielte – wie SlowMist es beschrieb – darauf ab, Zugangsdaten zu stehlen und Telegram-Sitzungen zu kapern, um Opfer dazu zu zwingen, Wallet-Recovery-Phrasen über gefälschte Websites einzureichen. Obwohl sich die TTPs zwischen den Kampagnen unterscheiden, zeigen beide auf dieselbe zugrunde liegende Bedrohung: Angreifer verketten systematisch Social Engineering und das Stehlen von Zugangsdaten, um letztlich den Zugang zu Krypto zu kompromittieren.

In Zukunft deuten beide Berichte darauf hin, dass Leser auf weitere „legitim aussehende“ Wege in die Kompromittierung achten sollten – insbesondere dort, wo die Ausführung von Code über Recruiter, Interview-Workflows oder Repositories Dritter angefordert wird. Für Investoren und Entwickler gleichermaßen ist die unmittelbare Frage nicht nur, ob Malware vorhanden ist, sondern ob Angreifer alltägliches Vertrauen und authentifizierte Sitzungen nutzen können, um schnell an wallet-relevante Geheimnisse zu gelangen.

Dieser Artikel wurde ursprünglich als Kaspersky Flags Malware Framework Targeting Crypto Investors auf Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Krypto-News, Bitcoin-News und Blockchain-Updates.