Peneliti keamanan siber sedang menyoroti gelombang baru taktik malware yang menargetkan orang-orang yang memegang, membangun, dan memberi saran terkait perangkat lunak kripto. Kaspersky, misalnya, mengatakan telah menemukan kerangka kerja malware baru—diberi nama OkoBot—yang menargetkan investor cryptocurrency dengan menggabungkan rekayasa sosial dan kemampuan pencurian data.
Pada saat yang sama, SlowMist memperingatkan adanya kampanye penyusupan terpisah yang menargetkan pengembang Web3 melalui pesan perekrutan yang tampak sah di LinkedIn, yang mendorong korban untuk menjalankan kode yang sudah terkontaminasi (dipercik racun) yang dihosting di GitHub. Bersama-sama, insiden-insiden tersebut menggarisbawahi bagaimana para pelaku kian sering menggunakan rutinitas kerja sehari-hari—wawancara, uji kode, dan pemasangan aplikasi—sebagai mekanisme pengantaran malware.
Poin-poin penting
OkoBot dirancang untuk mencuri data yang terkait kripto dengan memanen file wallet, informasi browser, kredensial, serta aktivitas browser atau ekstensi yang disuntikkan.
Kaspersky mengatakan pihaknya telah mengamati beberapa serangan yang terkait dengan OkoBot sejak Januari 2026, dan bahwa kerangka tersebut berevolusi dari kampanye sebelumnya bernama TookPS.
Infrastruktur OkoBot dilaporkan merutekan semua pengiriman muatan (payload) melalui sebuah tunnel SSH, sehingga memungkinkan pengangkutan data jarak jauh ke sistem yang dikendalikan penyerang.
SlowMist melaporkan adanya penipuan “rekruter” berbasis LinkedIn yang mengirim repositori GitHub berbahaya, disamarkan sebagai tugas wawancara teknis untuk developer Web3.
Alur kerja rekrutmen tersebut meniru wawancara developer yang sah dengan cukup dekat untuk menurunkan kecurigaan, sehingga meningkatkan peluang korban menjalankan kode berbahaya.
OkoBot menargetkan pemegang kripto melalui pencurian dompet (wallet) dan browser
Dalam laporan yang dirilis pekan ini, Kaspersky menggambarkan OkoBot sebagai kerangka malware yang memulai rantai infeksi menggunakan taktik social engineering dan pengiriman “aplikasi berbahaya”. Menurut Kaspersky, entri awal mencakup trik seperti ClickFix, yang bertujuan membujuk pengguna untuk mengeksekusi perintah berbahaya, serta aplikasi GitHub yang dimodifikasi (trojanized) yang dapat memasukkan backdoor ke perangkat yang telah terkompromi.
Begitu sebuah sistem berada dalam kendali penyerang, Kaspersky mengatakan OkoBot mampu mengumpulkan informasi sensitif yang secara langsung relevan dengan kepemilikan kripto. Perusahaan melaporkan bahwa malware dapat:
Memanen file dompet (wallet) kripto.
Mengekstrak data browser dan kredensial pengguna.
Menyuntikkan ekstensi berbahaya.
Merekam jendela aplikasi dompet (wallet), yang berpotensi memungkinkan pencurian melalui data yang muncul di layar atau terkait sesi.
Kaspersky juga menyatakan bahwa pihaknya mengidentifikasi beberapa serangan yang menggunakan keluarga malware ini sejak Januari 2026. Bagi investor, kekhawatiran praktisnya tidak hanya bahwa dompet bisa diakses, tetapi juga bahwa aktivitas browser dan data autentikasi yang tersimpan dapat digunakan untuk bergerak lebih cepat menuju pembajakan akun atau operasi pemindahan.
Bagaimana infrastruktur bekerja: orkestrasi payload melalui SSH
Detail penting dalam analisis Kaspersky adalah bahwa OkoBot diduga berbeda dari kampanye sebelumnya dalam cara ia mengelola payload berbahayanya. Kaspersky mengatakan bahwa kerangka tersebut mengorkestrasi semua 20 payload berbahaya melalui sebuah tunnel SSH, yang mendukung pengangkutan data jarak jauh dari komputer yang terkompromi ke sistem yang dikendalikan oleh penyerang.
Hal ini penting karena menunjukkan model operasional di mana penyerang mempertahankan kendali kuat atas tahap lanjutan setelah kompromi awal. Alih-alih hanya mengandalkan perilaku statis, arsitektur bertunnel dapat membantu penyerang beradaptasi terhadap korban dan mengumpulkan informasi dengan lebih andal, tergantung pada apa yang ditemukan malware di setiap host.
Kaspersky juga menggambarkan OkoBot sebagai evolusi TookPS, kampanye malware yang pertama kali diidentifikasi pada 2025 yang mendistribusikan pengunduh trojan melalui situs web perangkat lunak palsu. Dengan berevolusi dari pendekatan pengiriman sebelumnya dan menambahkan penanganan payload yang lebih terkoordinasi, kerangka OkoBot tampaknya dirancang untuk meningkatkan keberhasilan infeksi sekaligus efektivitas setelah kompromi.
Penipuan rekrutmen LinkedIn mendorong developer Web3 untuk menjalankan repositori yang telah diracuni
Riset terpisah dari SlowMist berfokus pada kumpulan target yang berbeda: developer Web3. Dalam laporan yang dipublikasikan pada Sabtu, perusahaan tersebut mengatakan bahwa penyerang menjangkau developer melalui pesan LinkedIn yang menyamar sebagai rekruter Web3.
Deskripsi SlowMist tentang alur kerja menunjukkan bahwa penyerang secara sengaja memilih titik masuk yang berisiko tinggi tingkat kepercayaannya dan sudah familiar. Setelah kontak awal, korban dikirimkan repositori GitHub palsu yang tampak meyakinkan, yang dibingkai sebagai “minimum viable product” yang seharusnya diinstal dan dicoba oleh developer sebelum wawancara.
Teknik ini efektif, demikian argumen SlowMist, karena menyerupai proses wawancara teknis yang nyata. Laporan tersebut mencatat bahwa alur kerja developer yang sah sering kali melibatkan pengambilan kode, pemasangan dependensi, dan menjalankan sebuah proyek—langkah-langkah yang secara alami dilakukan korban saat bersiap untuk wawancara. Dalam lingkungan seperti itu, kode berbahaya bisa menjadi kurang terlihat, terutama jika korban tidak mengharapkan adanya risiko keamanan dari repositori “yang terhubung” dengan percakapan rekrutmen.
Apa yang ingin dicuri penyerang dari sistem developer
SlowMist mengatakan tujuan akhirnya adalah mengirimkan trojan akses jarak jauh yang lengkap ke perangkat korban. Setelah terpasang, malware dapat memungkinkan penyerang mencuri materi sensitif yang terkait dengan pengembangan dan operasional, termasuk kunci proyek, kredensial cloud, atau data yang terkait dengan ekstensi wallet.
SlowMist juga menekankan bahwa pendekatan rekrutmen ini merupakan bagian dari pola yang lebih luas: para penyerang semakin memanfaatkan skenario seperti rekrutmen, code review, dan kolaborasi proyek untuk menipu pengembang agar menjalankan repositori berbahaya. Dengan kata lain, ini bukan hanya soal penipuan, tetapi juga soal timing—menunggu momen ketika seorang developer kemungkinan besar mengeksekusi kode sebagai bagian dari pekerjaan normal.
Pentingnya, peringatan yang berfokus pada LinkedIn ini muncul setelah SlowMist melaporkan kampanye lain yang menargetkan pengguna macOS. Upaya sebelumnya tersebut, seperti yang dijelaskan SlowMist, bertujuan mencuri kredensial dan membajak sesi Telegram agar korban dipaksa untuk menyerahkan frasa pemulihan wallet melalui situs web palsu. Meski TTP berbeda di antara kampanye tersebut, keduanya mengarah pada ancaman yang mendasari sama: para penyerang secara sistematis mengaitkan social engineering dan pencurian kredensial untuk akhirnya mengkompromikan akses kripto.
Ke depan, kedua laporan menyarankan pembaca untuk mewaspadai jalur kompromi yang tampak “sah” lainnya—terutama ketika eksekusi kode diminta melalui rekruter, alur wawancara, atau repositori pihak ketiga. Bagi investor maupun developer, pertanyaan segera bukan hanya apakah malware ada, tetapi apakah penyerang dapat memanfaatkan kepercayaan sehari-hari dan sesi yang telah diautentikasi untuk mencapai rahasia yang relevan dengan wallet dengan cepat.
Artikel ini awalnya diterbitkan sebagai Kaspersky Flags Malware Framework Targeting Crypto Investors on Crypto Breaking News – sumber tepercaya Anda untuk berita kripto, berita Bitcoin, dan pembaruan blockchain.