Nel panorama sempre più complesso della sicurezza informatica, emerge una nuova minaccia che sta mettendo a dura prova gli utenti di criptovalute. OkoBot un sofisticato framework malevolo, è stato individuato da esperti di sicurezza informatica che hanno documentato la sua diffusione in oltre 25 Paesi, con un impatto significativo in Brasile, Vietnam, Canada, Messico e Turchia.
Questo malware, che comprende oltre 20 payload e implant dannosi, è progettato per svolgere un’ampia gamma di funzioni, tra cui la raccolta di file locali, l’esecuzione di comandi remoti e il furto di portafogli di criptovalute. Tra i suoi componenti più pericolosi figura SeedHunter un modulo che monitora i processi attivi del sistema e inietta un implant in applicazioni ufficiali come Trezor Suite, Ledger Wallet e Ledger Live.
Come funziona OkoBot
L’infezione iniziale avviene generalmente attraverso due vettori principali: gli attacchi ClickFix nei quali gli autori delle minacce ricorrono al social engineering per indurre gli utenti a eseguire codice dannoso, e malware distribuiti tramite GitHub sotto le spoglie di software legittimo. Nel corso dell’indagine, i ricercatori hanno individuato un caso di questo tipo che riguardava un programma di installazione contraffatto per SQL Server Management Studio (SSMS), uno strumento Microsoft ampiamente utilizzato per la gestione dei database.
Una volta infettato il sistema, OkoBot utilizza uno script chiamato TookPS per installare SSH sulla macchina della vittima e aprire una connessione verso un server SSH controllato dagli attaccanti. Questo permette al malware di consegnare i payload e mantenere la persistenza nel sistema. Tra i moduli più pericolosi figura OkoSpyware in grado di registrare i tasti digitati e il flusso video della finestra di un’applicazione bersaglio.
Il modulo SeedHunter
Uno degli aspetti più preoccupanti di OkoBot è il modulo SeedHunter che monitora i processi attivi del sistema e inietta un implant in applicazioni ufficiali utilizzate per gestire gli asset in criptovaluta. Quando rileva un portafoglio hardware Trezor o Ledger collegato, attiva funzioni di hook per visualizzare una pagina di phishing hard-coded progettata per sottrarre la frase seed dell’utente.
Questa pagina di phishing è progettata per apparire identica all’interfaccia legittima dell’applicazione, ingannando l’utente e inducendolo a inserire la sua frase seed. Una volta ottenuta, gli attaccanti possono accedere ai fondi del portafoglio, mettendo a rischio l’intero patrimonio digitale dell’utente.
La diffusione di OkoBot
Secondo gli esperti di Kaspersky, la minaccia è ancora attiva e rappresenta un rischio soprattutto per gli utenti di criptovalute. La campagna è attiva da oltre un anno e, a luglio 2026, era ancora in corso. I vettori di infezione osservati suggeriscono chiaramente che gli sviluppatori siano tra i suoi obiettivi principali.
Particolarmente preoccupante è la continua evoluzione del malware, che indica come il framework venga mantenuto attivamente. Poiché le attività di distribuzione proseguono, la campagna ha il potenziale per raggiungere un numero sempre maggiore di utenti ed espandersi in altri Paesi nel breve termine.
Dmitry Galov, Head of the Russia and CIS Unit del Kaspersky Global Research and Analysis Team, ha dichiarato: “La campagna OkoBot è attiva da oltre un anno e, a luglio 2026, era ancora in corso. I vettori di infezione osservati suggeriscono chiaramente che gli sviluppatori siano tra i suoi obiettivi principali. Particolarmente preoccupante è la continua evoluzione del malware, che indica come il framework venga mantenuto attivamente.”
Per proteggersi da questa minaccia, è fondamentale adottare misure di sicurezza avanzate e rimanere sempre aggiornati sulle ultime minacce informatiche. Gli utenti di criptovalute dovrebbero essere particolarmente attenti e verificare sempre l’autenticità delle applicazioni e dei siti web che utilizzano per gestire i loro asset digitali.
