Des chercheurs en cybersécurité signalent une nouvelle vague de tactiques de malware visant des personnes qui détiennent, construisent et conseillent des logiciels liés aux cryptomonnaies. Kaspersky, par exemple, affirme avoir découvert un nouveau framework de malware — baptisé OkoBot — qui cible les investisseurs en cryptomonnaies en combinant l’ingénierie sociale et des capacités de vol de données.
Dans le même temps, SlowMist met en garde contre une campagne d’intrusion distincte qui vise les développeurs Web3 via des messages de recrutement apparemment légitimes sur LinkedIn, poussant les victimes à exécuter du code empoisonné hébergé sur GitHub. Ensemble, ces incidents soulignent à quel point les attaquants utilisent de plus en plus les routines de travail du quotidien — entretiens, essais de code et installations d’applications — comme mécanismes de distribution de malwares.
Points clés
OkoBot est conçu pour voler des données liées aux cryptomonnaies en récoltant des fichiers de portefeuille, des informations de navigateur, des identifiants, ainsi que l’activité injectée du navigateur ou des extensions.
Kaspersky indique avoir observé plusieurs attaques liées à OkoBot depuis janvier 2026, et que le framework a évolué à partir d’une campagne précédente appelée TookPS.
Selon des informations, l’infrastructure d’OkoBot achemine toutes les livraisons de charges utiles via un tunnel SSH, permettant un transfert de données à des systèmes contrôlés par l’attaquant à distance.
SlowMist signale des arnaques de type “recruiter” sur LinkedIn qui livrent des dépôts GitHub malveillants, déguisés en tâches d’entretien technique pour les développeurs Web3.
Le processus de recrutement imite suffisamment de près les entretiens légitimes pour réduire les soupçons, augmentant ainsi la probabilité que les victimes exécutent le code malveillant.
OkoBot cible les détenteurs de cryptomonnaies en volant des portefeuilles et des navigateurs
Dans un rapport publié cette semaine, Kaspersky décrit OkoBot comme un framework de malwares qui lance une chaîne d’infection en utilisant l’ingénierie sociale et des tactiques de “livraison d’application malveillante”. D’après Kaspersky, l’accès initial inclut des stratagèmes tels que ClickFix, qui vise à persuader les utilisateurs d’exécuter des commandes nuisibles, ainsi que des applications GitHub “troyanisées” pouvant introduire une porte dérobée sur un appareil compromis.
Une fois qu’un système est sous le contrôle de l’attaquant, Kaspersky affirme qu’OkoBot est capable de collecter des informations sensibles directement pertinentes pour la détention de cryptomonnaies. L’entreprise indique que le malware peut :
Récupérer des fichiers de portefeuilles de cryptomonnaie.
Extraire les données du navigateur et les identifiants utilisateur.
Injecter des extensions malveillantes.
Capturer les fenêtres de l’application portefeuille, ce qui pourrait permettre un vol via des données liées à l’écran ou à la session.
Kaspersky a également indiqué avoir identifié plusieurs attaques utilisant cette famille de malwares depuis janvier 2026. Pour les investisseurs, la préoccupation pratique ne se limite pas au fait que les portefeuilles pourraient être consultés : l’activité du navigateur et les données d’authentification stockées peuvent aussi être utilisées pour aller plus vite vers des prises de contrôle de compte ou des opérations de transfert.
Comment fonctionne l’infrastructure : orchestration des charges utiles via SSH
Un détail notable dans l’analyse de Kaspersky est qu’OkoBot serait différent des campagnes précédentes dans la manière dont il gère ses charges utiles malveillantes. Kaspersky affirme que le framework orchestre les 20 charges utiles malveillantes via un tunnel SSH, ce qui permet le transport à distance des données depuis les ordinateurs compromis vers des systèmes contrôlés par les attaquants.
C’est important car cela renvoie à un modèle opérationnel dans lequel l’attaquant conserve un fort contrôle sur les étapes suivantes après la compromission initiale. Au lieu de s’appuyer uniquement sur un comportement statique, une architecture en tunnel peut aider les attaquants à s’adapter aux victimes et à collecter des informations plus fiablement, selon ce que le malware trouve sur chaque hôte.
Kaspersky a également décrit OkoBot comme une évolution de TookPS, une campagne de malware d’abord identifiée en 2025, qui distribuait un téléchargeur de type Trojan via de faux sites de logiciels. En évoluant à partir d’une approche de distribution antérieure et en ajoutant une gestion des charges utiles plus coordonnée, le framework OkoBot semble conçu pour augmenter à la fois le succès des infections et l’efficacité après compromission.
Les arnaques de recrutement sur LinkedIn poussent les développeurs Web3 à exécuter des dépôts empoisonnés
Une étude distincte de SlowMist se concentre sur un autre groupe cible : les développeurs Web3. Dans un rapport publié samedi, la société a déclaré que les attaquants atteignent les développeurs via des messages LinkedIn qui se font passer pour des recruteurs Web3.
La description du workflow par SlowMist suggère que les attaquants choisissent délibérément un point d’entrée à forte confiance et familier. Après le premier contact, on envoie aux victimes ce qui semble être de fausses dépôts GitHub, présentés comme un “produit minimal viable” que le développeur devrait installer et essayer avant un entretien.
La technique est efficace, affirme SlowMist, parce qu’elle ressemble à un véritable processus d’entretien technique. Le rapport indique qu’un workflow légitime de développeur implique souvent de récupérer du code, d’installer des dépendances et de lancer un projet : des étapes que les victimes réalisent naturellement en préparation d’un entretien. Dans cet environnement, le code malveillant peut sembler moins évident, surtout si la victime ne s’attend pas à un risque de sécurité provenant d’un dépôt “lié” à une conversation de recrutement.
Ce que les attaquants cherchent à voler sur les systèmes des développeurs
SlowMist indique que l’objectif final est de livrer un cheval de Troie d’accès à distance complet à l’appareil de la victime. Une fois établi, le malware pourrait permettre aux attaquants de voler des éléments sensibles liés au développement et aux opérations, notamment des clés de projet, des identifiants cloud ou des données associées aux extensions de portefeuille.
SlowMist a également souligné que l’approche de recrutement s’inscrit dans un schéma plus large : les attaquants exploitent de plus en plus des scénarios tels que le recrutement, les revues de code et les collaborations de projet pour tromper les développeurs et les amener à exécuter des dépôts malveillants. Autrement dit, il ne s’agit pas seulement de tromper, mais aussi de timing : attendre le moment où un développeur est susceptible d’exécuter du code dans le cadre de son travail normal.
Il est important de noter que cette alerte axée sur LinkedIn est intervenue après que SlowMist a fait état d’une autre campagne visant les utilisateurs de macOS. D’après ce qu’a décrit SlowMist, cette opération visait à voler des identifiants et à détourner des sessions Telegram afin de contraindre les victimes à soumettre des phrases de récupération de portefeuille via de faux sites. Même si les TTP diffèrent entre les campagnes, elles pointent vers la même menace sous-jacente : les attaquants enchaînent méthodiquement ingénierie sociale et vol d’identifiants pour compromettre finalement l’accès aux cryptomonnaies.
Pour la suite, les deux rapports suggèrent aux lecteurs de surveiller davantage de voies de compromission “qui ressemblent à du légitime” — en particulier lorsque l’exécution de code est demandée via des recruteurs, des workflows d’entretien ou des dépôts tiers. Pour les investisseurs comme pour les développeurs, la question immédiate n’est donc pas seulement de savoir si un malware est présent, mais aussi si les attaquants peuvent exploiter une confiance quotidienne et des sessions authentifiées afin d’atteindre rapidement des secrets liés au portefeuille.
Cet article a été publié à l’origine sous le titre Kaspersky Flags Malware Framework Targeting Crypto Investors on Crypto Breaking News – votre source de confiance pour l’actualité crypto, l’actualité Bitcoin et les mises à jour blockchain.