Kaspersky Cảnh Báo Khung Phần Mềm Độc Hại Nhắm Vào Các Nhà Đầu Tư Tiền Mã Hóa

Các nhà nghiên cứu an ninh mạng đang cảnh báo về một làn sóng chiến thuật phần mềm độc hại mới nhằm vào những người nắm giữ, xây dựng và tư vấn các phần mềm liên quan đến tiền mã hóa. Chẳng hạn, Kaspersky cho biết họ đã phát hiện một khung phần mềm độc hại mới—được đặt tên là OkoBot—nhắm mục tiêu các nhà đầu tư tiền điện tử bằng cách kết hợp kỹ thuật lừa đảo xã hội với khả năng đánh cắp dữ liệu.
Đồng thời, SlowMist cảnh báo về một chiến dịch xâm nhập riêng biệt nhắm vào các nhà phát triển Web3 thông qua các thông điệp tuyển dụng tưởng chừng hợp pháp trên LinkedIn, thúc đẩy nạn nhân chạy mã độc đã bị “lây độc” được lưu trữ trên GitHub. Cùng với nhau, các sự cố này nhấn mạnh rằng kẻ tấn công ngày càng sử dụng các thói quen làm việc hằng ngày—phỏng vấn, thử nghiệm mã và cài đặt ứng dụng—như những cơ chế để phân phối phần mềm độc hại.
Những điểm chính
OkoBot được thiết kế để đánh cắp dữ liệu liên quan đến crypto bằng cách thu thập các tệp ví, thông tin trình duyệt, thông tin đăng nhập và các hoạt động của trình duyệt/tiện ích mở rộng bị tiêm (inject) thêm.
Kaspersky cho biết họ đã quan sát thấy nhiều cuộc tấn công liên quan đến OkoBot kể từ tháng 01/2026, và rằng khung mã độc này đã tiến hóa từ một chiến dịch trước đó có tên TookPS.
Theo thông tin, cơ sở hạ tầng của OkoBot định tuyến mọi hoạt động chuyển tải payload thông qua một đường hầm SSH, cho phép vận chuyển dữ liệu từ xa tới các hệ thống do kẻ tấn công kiểm soát.
SlowMist cho biết các vụ lừa đảo theo hình thức “nhà tuyển dụng” trên LinkedIn sử dụng các kho lưu trữ GitHub độc hại được ngụy trang như bài tập phỏng vấn kỹ thuật dành cho nhà phát triển Web3.
Quy trình tuyển dụng mô phỏng rất sát các buổi phỏng vấn hợp lệ của nhà phát triển, đủ để làm giảm nghi ngờ, từ đó tăng khả năng nạn nhân sẽ chạy mã độc.
OkoBot nhắm vào các chủ sở hữu crypto thông qua hành vi trộm ví và trình duyệt
Trong một báo cáo được công bố trong tuần này, Kaspersky mô tả OkoBot là một khung phần mềm độc hại (malware) có khả năng khởi động chuỗi lây nhiễm bằng các chiêu trò kỹ thuật xã hội và chiến thuật phân phối “ứng dụng độc hại”. Theo Kaspersky, điểm xâm nhập ban đầu có thể bao gồm các mánh như ClickFix, nhằm thuyết phục người dùng thực thi các lệnh gây hại, cũng như các ứng dụng GitHub bị cài cắm trojan có thể tạo đường hậu môn (backdoor) cho thiết bị bị xâm phạm.
Khi một hệ thống nằm dưới sự kiểm soát của kẻ tấn công, theo Kaspersky, OkoBot có khả năng thu thập thông tin nhạy cảm có liên quan trực tiếp đến quyền sở hữu crypto. Công ty cho biết mã độc có thể:
Thu thập các tệp ví tiền điện tử.
Trích xuất dữ liệu trình duyệt và thông tin đăng nhập của người dùng.
Cài cắm các tiện ích mở rộng (extension) độc hại.
Chụp các cửa sổ ứng dụng ví, có thể cho phép đánh cắp thông qua dữ liệu hiển thị trên màn hình hoặc dữ liệu liên quan đến phiên làm việc.
Kaspersky cũng cho biết họ đã xác định nhiều cuộc tấn công sử dụng họ mã độc này kể từ tháng 01/2026. Với nhà đầu tư, mối lo thực tiễn không chỉ là việc ví có thể bị truy cập, mà còn là hoạt động trình duyệt và dữ liệu xác thực được lưu trữ có thể được dùng để tiến nhanh hơn tới hành vi chiếm đoạt tài khoản hoặc các thao tác chuyển tiền.
Cơ sở hạ tầng hoạt động như thế nào: điều phối payload thông qua SSH
Một chi tiết đáng chú ý trong phân tích của Kaspersky là OkoBot được cho là khác với các chiến dịch trước ở cách nó quản lý các payload độc hại. Kaspersky nói rằng khung này điều phối tất cả 20 payload độc hại thông qua một đường hầm SSH, hỗ trợ việc truyền dữ liệu từ các máy tính bị xâm phạm tới các hệ thống do kẻ tấn công kiểm soát.
Điều này quan trọng vì nó cho thấy một mô hình vận hành trong đó kẻ tấn công giữ quyền kiểm soát mạnh ở các giai đoạn tiếp theo sau khi xâm nhập ban đầu. Thay vì chỉ dựa vào hành vi tĩnh, kiến trúc đường hầm có thể giúp kẻ tấn công thích ứng với nạn nhân và thu thập thông tin đáng tin cậy hơn, tùy thuộc vào những gì mã độc tìm thấy trên từng máy chủ.
Kaspersky cũng mô tả OkoBot như một sự phát triển (evolution) của TookPS, một chiến dịch mã độc lần đầu được phát hiện vào năm 2025, đã phân phối bộ tải trojan thông qua các trang web giả mạo bán phần mềm. Bằng việc tiến hóa từ cách thức phân phối trước đó và bổ sung cơ chế xử lý payload phối hợp hơn, khung OkoBot dường như được thiết kế để tăng cả tỷ lệ thành công lây nhiễm lẫn hiệu quả sau khi đã xâm nhập.
Các vụ lừa đảo tuyển dụng trên LinkedIn thúc đẩy nhà phát triển Web3 chạy các kho lưu trữ đã bị đầu độc
Phần nghiên cứu riêng của SlowMist tập trung vào một nhóm mục tiêu khác: các nhà phát triển Web3. Trong một báo cáo công bố vào thứ Bảy, công ty cho biết kẻ tấn công tiếp cận các nhà phát triển thông qua tin nhắn trên LinkedIn, đóng giả các nhà tuyển dụng Web3.
Mô tả quy trình làm việc của SlowMist cho thấy kẻ tấn công đang cố tình chọn một điểm xâm nhập quen thuộc, có mức độ tin cậy cao. Sau khi liên hệ ban đầu, nạn nhân được gửi những gì trông như là các kho lưu trữ GitHub giả mạo, được đóng khung như một “sản phẩm khả dụng tối thiểu” (minimum viable product) mà nhà phát triển cần cài đặt và thử trước khi phỏng vấn.
Kỹ thuật này hiệu quả, theo lập luận của SlowMist, vì nó giống một quy trình phỏng vấn kỹ thuật thực sự. Báo cáo nêu rằng quy trình làm việc của một nhà phát triển hợp lệ thường bao gồm việc kéo mã nguồn, cài đặt phụ thuộc và khởi chạy dự án—những bước mà nạn nhân sẽ tự nhiên thực hiện khi chuẩn bị cho một buổi phỏng vấn. Trong môi trường đó, mã độc có thể ít bị nhận ra hơn, đặc biệt nếu nạn nhân không kỳ vọng có rủi ro bảo mật từ một kho lưu trữ “được liên kết” với cuộc trò chuyện tuyển dụng.
Kẻ tấn công định đánh cắp gì từ hệ thống của nhà phát triển
SlowMist cho biết mục tiêu cuối cùng là phân phối một trojan truy cập từ xa hoàn chỉnh tới thiết bị của nạn nhân. Khi đã thiết lập, mã độc có thể cho phép kẻ tấn công đánh cắp các tài liệu nhạy cảm liên quan đến việc phát triển và vận hành, bao gồm khóa dự án, thông tin đăng nhập đám mây hoặc dữ liệu gắn với các tiện ích mở rộng của ví.
SlowMist cũng nhấn mạnh rằng cách tiếp cận tuyển dụng này là một phần của mô hình rộng hơn: kẻ tấn công ngày càng tận dụng các tình huống như tuyển dụng, duyệt mã và hợp tác dự án để lừa nhà phát triển chạy các kho lưu trữ độc hại. Nói cách khác, đây không chỉ là sự đánh lừa, mà còn là yếu tố thời điểm—chờ đợi khoảnh khắc khi nhà phát triển có khả năng thực thi mã như một phần công việc bình thường.
Điều quan trọng là cảnh báo tập trung vào LinkedIn này xuất hiện sau khi SlowMist báo cáo một chiến dịch khác nhắm tới người dùng macOS. Theo cách SlowMist mô tả, nỗ lực trước đó nhằm đánh cắp thông tin đăng nhập và chiếm quyền các phiên Telegram để ép nạn nhân gửi các cụm từ khôi phục ví (wallet recovery phrases) thông qua các trang web giả mạo. Mặc dù TTPs (chiến thuật, kỹ thuật và quy trình) khác nhau giữa các chiến dịch, cả hai đều chỉ ra cùng một mối đe dọa cốt lõi: kẻ tấn công đang liên kết một cách có hệ thống kỹ thuật xã hội và đánh cắp thông tin đăng nhập để cuối cùng chiếm quyền truy cập crypto.
Trong thời gian tới, cả hai báo cáo đều gợi ý người đọc nên để ý tới các con đường “trông có vẻ hợp pháp” dẫn tới việc bị xâm nhập—đặc biệt khi việc thực thi mã được yêu cầu thông qua nhà tuyển dụng, quy trình phỏng vấn hoặc các kho lưu trữ bên thứ ba. Đối với cả nhà đầu tư và nhà phát triển, câu hỏi ngay lập tức không chỉ là liệu có mã độc hay không, mà còn là liệu kẻ tấn công có thể tận dụng lòng tin thông thường và các phiên đã được xác thực để nhanh chóng tiếp cận các bí mật liên quan đến ví hay không.
Bài viết này ban đầu được đăng dưới dạng Kaspersky Flags Malware Framework Targeting Crypto Investors trên Crypto Breaking News – nguồn tin cậy của bạn về tin tức crypto, tin Bitcoin và các cập nhật blockchain.