Исследователи по кибербезопасности сообщают о появлении новой волны тактик вредоносного ПО, направленных на людей, которые владеют, разрабатывают и консультируют по криптосвязанному программному обеспечению. Например, Kaspersky утверждает, что обнаружила новую вредоносную платформу — получившую название OkoBot — которая нацелена на криптоинвесторов, сочетая социальную инженерию с возможностями кражи данных.

В то же время SlowMist предупреждает о отдельной кампании вторжения, нацеленной на разработчиков Web3 через, казалось бы, легитимные сообщения о найме в LinkedIn, побуждающие жертв запускать заражённый код, размещённый на GitHub. Вместе эти случаи подчёркивают, что злоумышленники всё чаще используют повседневные рабочие процедуры — собеседования, проверку кода и установку приложений — как механизмы доставки вредоносного ПО.

Ключевые выводы

• OkoBot предназначен для кражи данных, связанных с криптовалютой, путем сбора файлов кошельков, информации браузера, учетных данных, а также внедренной активности браузера или расширений.

• Kaspersky сообщает, что наблюдал несколько атак, связанных с OkoBot, начиная с января 2026 года, и что фреймворк развился из более ранней кампании под названием TookPS.

• Сообщается, что инфраструктура OkoBot маршрутизирует доставку всех полезных данных через SSH-туннель, обеспечивая удаленную передачу данных на системы, контролируемые злоумышленниками.

• SlowMist сообщает о мошенничествах с «рекрутером» в LinkedIn, которые доставляют вредоносные репозитории GitHub, замаскированные под технические задания для Web3-разработчиков.

• Процесс подбора персонала достаточно точно имитирует реальные собеседования разработчиков, чтобы снизить подозрения, повышая вероятность того, что жертвы запустят вредоносный код.

OkoBot нацелен на владельцев криптовалют через кражу кошельков и данных браузера

В отчете, опубликованном на этой неделе, Kaspersky описал OkoBot как фреймворк вредоносного ПО, который запускает цепочку заражения с помощью социальной инженерии и тактик доставки «вредоносного приложения». По данным Kaspersky, начальный вход включает уловки вроде ClickFix, целью которых является побудить пользователей выполнить вредоносные команды, а также троянизированные приложения GitHub, способные добавить бэкдор на скомпрометированное устройство.

После того как система оказывается под контролем злоумышленника, Kaspersky говорит, что OkoBot способен собирать чувствительную информацию, напрямую относящуюся к владению криптовалютой. Компания сообщает, что вредоносное ПО может:

• Сбор файлов криптовалютных кошельков.

• Извлечение данных браузера и учетных данных пользователя.

• Внедрение вредоносных расширений.

• Перехват окон приложения кошелька, что потенциально позволяет красть с помощью данных, отображаемых на экране, или данных, связанных с сессией.

Kaspersky также заявил, что выявил несколько атак с использованием этого семейства вредоносных программ начиная с января 2026 года. Для инвесторов практическая проблема заключается не только в том, что к кошелькам могут получить доступ, но и в том, что активность в браузере и сохраненные данные аутентификации могут использоваться, чтобы быстрее продвинуться к захвату аккаунтов или операциям по переводу средств.

Как работает инфраструктура: оркестрация полезной нагрузки через SSH

Примечательная деталь в анализе Kaspersky заключается в том, что, по утверждению, OkoBot отличается от прежних кампаний тем, как он управляет своими вредоносными полезными нагрузками. Kaspersky заявил, что фреймворк оркестрирует все 20 вредоносных полезных нагрузок через SSH-туннель, что поддерживает удаленную передачу данных с скомпрометированных компьютеров на системы, контролируемые злоумышленниками.

Это важно, поскольку указывает на операционную модель, где злоумышленник сохраняет сильный контроль над последующими этапами после первоначального компрометации. Вместо того чтобы полагаться только на статичное поведение, туннелированная архитектура может помочь злоумышленникам адаптироваться к жертвам и надежнее собирать информацию — в зависимости от того, что вредоносное ПО обнаружит на каждом хосте.

Kaspersky также описал OkoBot как эволюцию TookPS — кампании вредоносного ПО, впервые обнаруженной в 2025 году и распространявшей троян-загрузчик через фальшивые сайты с программным обеспечением. Судя по тому, что OkoBot развивается от более раннего подхода к доставке и добавляет более скоординированную обработку полезных нагрузок, этот фреймворк, по всей видимости, нацелен на повышение и успеха заражения, и эффективности после компрометации.

Мошенничества с наймом в LinkedIn подталкивают Web3-разработчиков к запуску отравленных репозиториев

Отдельное исследование от SlowMist ориентировано на другую группу целей: Web3-разработчиков. В отчете, опубликованном в субботу, компания сообщила, что злоумышленники выходят на разработчиков через сообщения в LinkedIn, выдавая себя за рекрутеров Web3.

Описание рабочего процесса от SlowMist предполагает, что злоумышленники намеренно выбирают точку входа с высоким уровнем доверия и знакомую. После первого контакта жертвам отправляют то, что выглядит как фальшивые репозитории GitHub, оформленные как «минимально жизнеспособный продукт», который разработчик должен установить и попробовать перед собеседованием.

Эта техника, как утверждает SlowMist, эффективна, потому что напоминает реальный процесс технического собеседования. В отчете отмечается, что легитимный рабочий процесс разработчика часто включает загрузку кода, установку зависимостей и запуск проекта — шаги, которые жертвы обычно выполняют при подготовке к собеседованию. В такой обстановке вредоносный код может быть менее заметным, особенно если жертва не ожидает угрозы безопасности от репозитория «связанного» с рекрутинговым разговором.

Что злоумышленники пытаются украсть с систем разработчиков

SlowMist заявил, что конечная цель — доставить на устройство жертвы полноценный троян удаленного доступа. После установки вредоносное ПО может позволить злоумышленникам похищать конфиденциальные материалы, связанные с разработкой и операциями, включая ключи проектов, учетные данные облака или данные, относящиеся к расширениям кошельков.

SlowMist также подчеркнул, что подход к найму является частью более широкой схемы: злоумышленники все чаще используют сценарии вроде найма, code review и совместной работы над проектами, чтобы заставить разработчиков запускать вредоносные репозитории. Иными словами, это не только об обмане, но и о тактике — ожидании момента, когда разработчику с наибольшей вероятностью придется выполнять код в рамках обычной работы.

Важно: это предупреждение, сфокусированное на LinkedIn, появилось после того, как SlowMist сообщил о другой кампании, нацеленной на пользователей macOS. Как описал это SlowMist, та предыдущая попытка была направлена на кражу учетных данных и перехват Telegram-сессий, чтобы заставить жертв отправить фразы для восстановления кошелька через поддельные веб-сайты. Хотя TTP в кампаниях различаются, обе указывают на одну базовую угрозу: злоумышленники методично связывают социальную инженерию и кражу учетных данных, чтобы в итоге скомпрометировать доступ к криптовалюте.

В дальнейшем оба отчета предполагают, что читателям стоит следить за более «похожими на легитимные» путями компрометации — особенно там, где запрашивается выполнение кода через рекрутеров, в рамках собеседовательных сценариев или через сторонние репозитории. И для инвесторов, и для разработчиков первоочередной вопрос заключается не только в том, есть ли вредоносное ПО, но и в том, могут ли злоумышленники использовать повседневное доверие и аутентифицированные сессии, чтобы быстро добраться до секретов, относящихся к кошелькам.

Изначально эта статья была опубликована как Kaspersky Flags Malware Framework Targeting Crypto Investors on Crypto Breaking News — ваш надежный источник новостей о криптовалюте, новостей о Bitcoin и обновлений по блокчейну.