サイバーセキュリティ研究者は、暗号資産（クリプト）関連ソフトを保有し、開発し、助言している人々を狙う新たなマルウェア戦術の波を警告している。たとえばカスペルスキーは、ソーシャルエンジニアリングとデータ窃取の機能を組み合わせることで暗号資産投資家を狙う新しいマルウェア・フレームワーク「OkoBot」を発見したと述べている。

同時に、SlowMistは、LinkedIn上で一見正当な採用メッセージを送りつけることでWeb3開発者を狙う別の侵入キャンペーンに注意を促している。被害者には、GitHub上でホスティングされた“毒入り”のコードを実行させるという。これらの一連の事案は、攻撃者がマルウェアの配布手段として、面接、コードの試用、アプリのインストールといった日常的な業務の流れをますます活用していることを強調している。

要点

• OkoBotは、ウォレットファイル、ブラウザ情報、認証情報、そして注入されたブラウザ／拡張機能の活動を収集することで、暗号関連データを盗み取るよう設計されている。

• Kasperskyによれば、同社は2026年1月以降に複数のOkoBotに関連する攻撃を観測しており、同フレームワークがTookPSという以前のキャンペーンから進化したものだという。

• OkoBotのインフラは、すべてのペイロード配信をSSHトンネル経由でルーティングし、攻撃者が管理するシステムへのリモートデータ輸送を可能にしていると報じられている。

• SlowMistは、LinkedInを介した「採用担当者」を名乗る詐欺で、Web3開発者向けの技術面接タスクのふりをして悪意のあるGitHubリポジトリを届ける事例を報告している。

• 採用のワークフローは正規の開発者向け面接にかなり近いため、疑いを低下させ、被害者が悪意のあるコードを実行する可能性が高まる。

OkoBotはウォレットとブラウザの窃取によって暗号保有者を狙う

今週公開されたレポートで、KasperskyはOkoBotを、ソーシャルエンジニアリングと「悪意のあるアプリ」配信の手口で感染連鎖を起動するマルウェア・フレームワークだと説明した。Kasperskyによれば、初期侵入にはClickFixのような仕掛けが含まれており、ユーザーに危険なコマンドを実行させようとする。また、侵害された端末にバックドアをもたらし得る改変済みのGitHubアプリケーションも含まれるという。

システムが攻撃者の支配下に入ると、KasperskyによればOkoBotは暗号保有に直接関係する機密情報を収集できるという。同社によれば、マルウェアは次のことが可能だ：

• 暗号通貨ウォレットのファイルを収集する。

• ブラウザデータとユーザー認証情報を抽出する。

• 悪意のある拡張機能を注入する。

• ウォレットアプリのウィンドウをキャプチャし、画面上またはセッション関連のデータを通じて窃取につながる可能性がある。

Kasperskyはさらに、2026年1月以降、このマルウェアファミリを用いた複数の攻撃を特定したとも述べた。投資家にとっての実務上の懸念は、ウォレットにアクセスされ得ることだけではない。ブラウザの活動や保存された認証データが、アカウント乗っ取りや送金操作に向けてより迅速に進むために悪用され得る点にもある。

仕組み：SSHによるペイロードのオーケストレーション

Kasperskyの分析で注目すべき点は、OkoBotが悪意のあるペイロードをどのように管理するかという点で、過去のキャンペーンと異なる可能性があるという点だ。Kasperskyは、同フレームワークがすべての20個の悪意のあるペイロードをSSHトンネル経由でオーケストレーションしており、これにより侵害されたコンピュータから攻撃者が管理するシステムへデータをリモート転送できると述べている。

これは重要で、初期侵害後のフォロー段階において攻撃者が強い支配力を維持する運用モデルを示すからだ。静的な挙動にだけ頼るのではなく、トンネル化されたアーキテクチャは、マルウェアが各ホストで見つけた内容に応じて、攻撃者が被害者に適応し、より確実に情報を収集するのに役立ち得る。

KasperskyはまたOkoBotを、2025年に最初に確認されたマルウェアキャンペーンTookPSの進化版だと説明した。TookPSは、偽のソフトウェアサイトを通じてトロイの木馬型のダウンローダを配布していた。初期の配信手法から進化し、より連携の取れたペイロード処理を追加することで、OkoBotのフレームワークは、感染成功率と、侵害後の有効性の両方を高める立ち位置にあるようだ。

LinkedInの採用詐欺がWeb3開発者に“毒入り”リポジトリの実行を促す

SlowMistの別研究（Separate research）では、異なるターゲット群に焦点を当てている。土曜に公開されたレポートで同社は、攻撃者がWeb3の採用担当者を装ったWeb3リクルーターになりすました形で、LinkedInのメッセージを通じて開発者へ接触していると述べた。

SlowMistのワークフロー説明からは、攻撃者が信頼度の高い、なじみのある侵入口を意図的に選んでいることが示唆される。初回の接触後、被害者には、面接前に開発者がインストールして試すべき「最小実用製品（minimum viable product）」として提示される、偽のGitHubリポジトリが送られる。

この手法が有効だというのは、SlowMistが主張するところでは、実際の技術面接プロセスに似ているからだ。レポートでは、正規の開発者の業務フローでは通常、コードの取得、依存関係のインストール、プロジェクトの起動といった手順が含まれ、それらは被害者が面接準備の過程で自然に行う動きだと指摘している。そのような環境では、採用の会話につながっている（「つながりがある」とされる」）リポジトリからセキュリティ上のリスクがあると被害者が想定していない限り、悪意のあるコードが目立ちにくくなる。

攻撃者が開発者のシステムから盗み取ろうとするもの

SlowMistによれば、最終的な目的は、被害者の端末に完全なリモートアクセス型トロイの木馬を届けることだ。これが成立すると、マルウェアはプロジェクトキー、クラウドの認証情報、ウォレット拡張機能に紐づくデータなど、開発・運用に関連する機密資料を攻撃者が盗み取ることを可能にし得る。

SlowMistはまた、採用手法がより広範なパターンの一部であるとも強調した。つまり、攻撃者は採用、コードレビュー、プロジェクト協業といったシナリオを悪用して、開発者に悪意のあるリポジトリを実行させようとしている。言い換えれば、これは単なる欺瞞だけでなく、タイミングにも関わる問題であり、開発者が通常の業務の一環としてコードを実行しそうな瞬間を待つことだ。

重要なのは、このLinkedInに焦点を当てた警告は、SlowMistがmacOSユーザーを狙う別のキャンペーンを報告した後に出てきたことだ。先行する取り組みは、SlowMistの説明によれば、資格情報を盗み、Telegramのセッションを乗っ取って、偽サイトを通じて被害者にウォレットのリカバリーフレーズを提出させることを目的としていた。キャンペーン間でTTPは異なるものの、どちらも根本的な同じ脅威を示している。つまり攻撃者は、ソーシャルエンジニアリングと認証情報の窃取を段階的に連鎖させ、最終的に暗号資産へのアクセスを侵害するという手口を用いている。

今後の報告として、両レポートは読者に対し、侵害への入り口として、より「正当そうに見える」経路を見逃さないよう注意するべきだとしている。特に、採用担当者、面接のワークフロー、第三者リポジトリを通じてコード実行が求められる場合だ。投資家・開発者の双方にとって、差し迫った問いは、マルウェアが存在するかどうかだけではない。攻撃者が、日常的な信頼や認証済みセッションを悪用して、ウォレットに関連する秘密情報へ素早く到達できるかどうかだ。

この記事はもともと、Crypto Breaking News において「Crypto Investorsを標的とするマルウェア・フレームワークをKasperskyが警告—信頼できる暗号ニュース情報源、ビットコインニュース、ブロックチェーン更新」にして掲載された。