Pesquisadores de cibersegurança estão alertando para uma nova onda de táticas de malware voltadas a pessoas que possuem, desenvolvem e orientam softwares relacionados a criptomoedas. A Kaspersky, por exemplo, afirma ter descoberto um novo framework de malware — apelidado de OkoBot — que atinge investidores em criptomoedas ao combinar engenharia social com capacidades de roubo de dados.
Ao mesmo tempo, a SlowMist alerta sobre uma campanha de intrusão separada que mira desenvolvedores de Web3 por meio de mensagens de recrutamento aparentemente legítimas no LinkedIn, incentivando as vítimas a executar código envenenado hospedado no GitHub. Juntos, os incidentes destacam como os atacantes estão cada vez mais usando rotinas comuns do trabalho — entrevistas, testes de código e instalações de aplicativos — como mecanismos de entrega para malware.
Principais pontos
O OkoBot foi projetado para roubar dados relacionados a cripto fazendo a coleta de arquivos da carteira, informações do navegador, credenciais e atividade injetada no navegador ou em extensões.
A Kaspersky diz que observou múltiplos ataques ligados ao OkoBot desde janeiro de 2026 e que a estrutura evoluiu a partir de uma campanha anterior chamada TookPS.
A infraestrutura do OkoBot supostamente roteia toda a entrega de payload por meio de um túnel SSH, permitindo o transporte remoto de dados para sistemas controlados pelo atacante.
O SlowMist relata golpes de “recrutador” baseados no LinkedIn que entregam repositórios maliciosos do GitHub disfarçados de tarefas de entrevistas técnicas para desenvolvedores Web3.
O fluxo de recrutamento imita de perto entrevistas legítimas de desenvolvedores o suficiente para reduzir a suspeita, aumentando a chance de as vítimas executarem o código malicioso.
O OkoBot mira detentores de cripto por meio de roubo de carteiras e de navegadores
Em um relatório divulgado esta semana, a Kaspersky descreveu o OkoBot como uma estrutura de malware que inicia uma cadeia de infecção usando táticas de engenharia social e de entrega de “aplicativo malicioso”. Segundo a Kaspersky, a entrada inicial inclui truques como o ClickFix, que visa persuadir os usuários a executar comandos prejudiciais, além de aplicativos do GitHub com trojanizados que podem inserir uma backdoor em um dispositivo comprometido.
Depois que um sistema está sob controle do atacante, a Kaspersky afirma que o OkoBot é capaz de coletar informações sensíveis diretamente relevantes para a posse de criptomoedas. A empresa relata que o malware pode:
Fazer a coleta de arquivos de carteiras de criptomoedas.
Extrair dados do navegador e credenciais do usuário.
Injetar extensões maliciosas.
Capturar janelas do aplicativo da carteira, potencialmente permitindo roubo por meio de dados exibidos na tela ou relacionados à sessão.
A Kaspersky também afirmou que identificou múltiplos ataques usando essa família de malware desde janeiro de 2026. Para investidores, a preocupação prática não é apenas que as carteiras possam ser acessadas, mas também que a atividade do navegador e os dados de autenticação armazenados possam ser usados para avançar mais rapidamente em direção a sequestros de conta ou operações de transferência.
Como a infraestrutura funciona: orquestração de payload via SSH
Um detalhe notável na análise da Kaspersky é que o OkoBot supostamente difere de campanhas anteriores pela forma como gerencia seus payloads maliciosos. A Kaspersky disse que a estrutura orquestra todos os 20 payloads maliciosos via um túnel SSH, o que dá suporte ao transporte remoto de dados de computadores comprometidos para sistemas controlados pelos atacantes.
Isso importa porque aponta para um modelo operacional em que o atacante mantém forte controle sobre as etapas seguintes após a primeira infecção. Em vez de depender apenas de comportamento estático, uma arquitetura em túnel pode ajudar os atacantes a se adaptarem às vítimas e a coletarem informações com mais confiabilidade, dependendo do que o malware encontra em cada host.
A Kaspersky também descreveu o OkoBot como uma evolução do TookPS, uma campanha de malware identificada pela primeira vez em 2025 que distribuía um downloader trojanizado por meio de sites falsos de software. Ao evoluir de uma abordagem de entrega anterior e adicionar um tratamento de payload mais coordenado, a estrutura do OkoBot parece estar posicionada para aumentar tanto o sucesso de infecção quanto a eficácia após o comprometimento.
Golpes de recrutamento no LinkedIn empurram devs Web3 a executarem repositórios envenenados
A análise separada feita pelo SlowMist foca em um conjunto de alvos diferente: desenvolvedores Web3. Em um relatório publicado no sábado, a empresa disse que atacantes estão alcançando desenvolvedores por meio de mensagens no LinkedIn que se passam por recrutadores de Web3.
A descrição do fluxo de trabalho feita pelo SlowMist sugere que os atacantes estão escolhendo deliberadamente um ponto de entrada familiar e de alta confiança. Após o primeiro contato, as vítimas recebem o que parecem ser repositórios falsos do GitHub, enquadrados como um “produto mínimo viável” que o desenvolvedor deve instalar e testar antes de uma entrevista.
A técnica é eficaz, argumenta o SlowMist, porque se parece com um processo real de entrevista técnica. O relatório observa que um fluxo de trabalho legítimo de desenvolvedor muitas vezes envolve puxar código, instalar dependências e iniciar um projeto—etapas que as vítimas naturalmente executam ao se preparar para uma entrevista. Nesse ambiente, o código malicioso pode ficar menos evidente, especialmente se a vítima não espera um risco de segurança de um repositório “conectado” a uma conversa de recrutamento.
O que os atacantes tentam roubar dos sistemas dos desenvolvedores
O SlowMist disse que o objetivo final é entregar um trojan completo de acesso remoto ao dispositivo da vítima. Uma vez estabelecido, o malware poderia permitir que os atacantes roubassem materiais sensíveis associados ao desenvolvimento e às operações, incluindo chaves de projeto, credenciais de nuvem ou dados ligados a extensões de carteira.
O SlowMist também enfatizou que a abordagem de recrutamento faz parte de um padrão mais amplo: os atacantes estão cada vez mais explorando cenários como recrutamento, revisões de código e colaborações em projetos para enganar desenvolvedores a executarem repositórios maliciosos. Em outras palavras, não se trata apenas de enganar, mas também de timing—esperar o momento em que um desenvolvedor provavelmente vai executar código como parte do trabalho normal.
Importante: esse alerta focado no LinkedIn veio depois de o SlowMist relatar outra campanha mirando usuários de macOS. Esse esforço anterior, como o SlowMist descreveu, tinha como objetivo roubar credenciais e sequestrar sessões do Telegram para forçar as vítimas a enviar frases de recuperação de carteira por meio de sites falsos. Embora as TTPs difiram entre as campanhas, ambas apontam para a mesma ameaça subjacente: os atacantes estão encadeando meticulosamente engenharia social e roubo de credenciais para, finalmente, comprometer o acesso a cripto.
Para a frente, ambos os relatórios sugerem que os leitores devem ficar atentos a caminhos mais “com cara de legítimos” para chegar ao comprometimento—especialmente quando a execução de código é solicitada por recrutadores, fluxos de entrevista ou repositórios de terceiros. Tanto para investidores quanto para desenvolvedores, a questão imediata não é apenas se há malware presente, mas se os atacantes conseguem aproveitar a confiança do dia a dia e sessões autenticadas para alcançar rapidamente segredos relevantes para a carteira.
Este artigo foi originalmente publicado como Kaspersky Flags Malware Framework Targeting Crypto Investors em Crypto Breaking News – sua fonte confiável de notícias de cripto, notícias de Bitcoin e atualizações de blockchain.