2026 жылдың қаңтарында Kaspersky GReAT сарапшылары криптовалюта мен крипто әмиян пайдаланушыларының деректерін ұрлауға арналған жаңа зиянды OkoBot платформасын тапты. Оның құрамына 20-дан астам модуль кіреді, олар шабуылдаушыларға тіркелгі деректері мен сид сөз тіркестерін ұрлауға мүмкіндік береді — крипто әмиянға кіруді қалпына келтіруге, браузерге зиянды кеңейтімдерді жасырын орнатуға, пайдаланушының әрекеттерін жазуға және басқа әрекеттерді орындауға арналған құпия сөз тіркестері. Жаңа модульдердің бірі-OkoSpyware - мақсатты қолданба терезесінен пернелер мен бейне ағындарын ұстап алады. Сарапшылардың пікірінше, науқан бір жылдан астам уақыт бойы жалғасып келеді және әлі де белсенді болып, криптовалюта иелеріне қауіп төндіреді.
Құрылғылар қалай жұқтырылады. Бастапқы инфекция екі негізгі жолмен жүреді. Бірінші жағдайда, шабуылдаушылар ClickFix техникасын қолданады және әлеуметтік инженерия арқылы пайдаланушыны зиянды кодты өз бетінше орындауға сендіреді. Екіншіден, зиянды бағдарлама GitHub арқылы заңды бағдарламалар түрінде таратылады, мысалы, SQL Server Management Studio (SSMS) орнатушысы, Microsoft корпорациясының дерекқорды басқарудың танымал құралы.
Зиянкестер крипто әмияндарына қалай қол жеткізе алады. OkoBot модульдерінің бірі - SeedHunter-Trezor Suite, Ledger Wallet және Ledger Live аппараттық крипто әмияндарын басқаруға арналған ресми қосымшалардың іске қосылуын бақылайды. Зиянды бағдарлама қосылған Trezor немесе Ledger аппараттық крипто әмиянын анықтаған кезде, ол белгілі бір қолданба стилінде жасалған әмиянды қалпына келтірудің фишингтік бетін көрсетеді және жарықдиодты фразаны енгізуді ұсынады. Егер бұл жасалса, шабуылдаушылар крипто-активтерді иемденуге мүмкіндік алады.
Кімге шабуыл жасалады және қайда. Жұқтыру әрекеттері 25 — тен астам елде, ең алдымен Бразилия, Вьетнам, Канада, Мексика және Түркияда жүздеген пайдаланушыларға қатысты тіркелді. Сарапшылардың пікірінше, шабуылдаушылар таңдаған тарату әдістері науқанның негізгі мақсаттарының бірі GitHub пен арнайы бағдарламалық жасақтаманы үнемі қолданатын әзірлеушілер мен басқа да АТ мамандары екенін көрсетеді.
Шабуылдардың артында кім тұр. Қазіргі уақытта сарапшылар бұл науқанның артында қандай кибергруппа тұрғанын нақты айта алмайды. Алайда, деректерді ұрлау үшін қолданылатын әдістер мен науқанға қатысатын бағдарлама орыс тілінде сөйлейтін зиянкестер арасында кең таралған, ал техникалық талдау барысында орыс тіліндегі артефактілер табылды.
Okobot науқанында қолданылған сид сөз тіркестерін ұрлауға арналған фишингтік беттер
"OkoBot науқаны бір жылдан астам уақыт бойы жалғасып келеді және әлі де белсенді. Бақыланатын тарату әдістері шабуылдаушылардың негізгі мақсаттарының бірі әзірлеушілер екенін көрсетеді. Зиянды платформаның үздіксіз эволюциясы алаңдаушылық тудырады. Бұл шабуылдаушылардың платформаны белсенді дамытуды жалғастырып жатқанын көрсетеді. Науқан жалғасқан сайын зиянкестер көбірек пайдаланушыларға қол жеткізе алады және шабуылдардың географиясын кеңейте алады", — деп ескертеді Ресейдегі Kaspersky GReAT басшысы Дмитрий Галов.
Kaspersky GReAT сарапшылары пайдаланушыларға кеңес береді:
- ешбір жағдайда құрылғыға белгісіз кодты орнату бойынша нұсқауларды орындамаңыз. Зиянкестер бұл тактиканы жүйелерді жұқтыру үшін жиі пайдаланады, бұл деректердің жоғалуына және тіпті құрылғыны басқарудың жоғалуына әкелуі мүмкін;
- барлық құрылғыларда тиімділігі тәуелсіз сынақтармен расталатын сенімді қорғаныс шешімін қолданыңыз, мысалы Kaspersky Premium;
- Фотогалереяда немесе жазбаларда қалпына келтіру үшін құпия сөздерді немесе сөз тіркестерін сақтамаңыз; оның орнына күшті құпия сөз менеджерін пайдаланыңыз, мысалы Kaspersky Password Manager;
- бағдарламалық жасақтаманы орнату үшін антивирусты немесе басқа қорғаныс құралдарын өшірмеңіз және модульдерді, читтерді немесе үшінші тарап утилиталарын жүктеу кезінде абай болыңыз;
- операциялық жүйелер мен қолданбаларды жаңартыңыз, күшті бірегей құпия сөздерді пайдаланыңыз және мүмкіндігінше барлық қызметтерде көп факторлы аутентификацияны қосыңыз.