بدافزار OkoBot به‌عنوان یک تهدید جدید برای کاربران رمزارزی ویندوز شناسایی شده است که با استفاده از نرم‌افزارهای جعلی، روش‌های مهندسی اجتماعی مانند کلیک‌فیکس (ClickFix) و مجموعه‌ای از ابزارهای مخرب، اطلاعات حساس مرتبط با دارایی‌های دیجیتال کاربران را هدف قرار می‌دهد. این بدافزار با سرقت فایل‌های کیف پول، عبارت‌های بازیابی (Recovery Phrases / Seed Phrases)، رمزهای عبور و داده‌های مرورگر، اطلاعات ارزشمند کاربران را جمع‌آوری کرده و هم‌زمان فعالیت آن‌ها را در اپلیکیشن‌های کیف پول و نرم‌افزارهای مالی زیر نظر می‌گیرد.
کسپرسکی این کمپین فعال را در ژانویه 2026 شناسایی کرد. بررسی‌های فنی پژوهشگران نشان داد این عملیات در چهار مرحله اجرا می‌شود و بیش از 20 پیلود و ایمپلنت مخرب را در بر می‌گیرد. همچنین مشخص شد بدافزار OkoBot قادر است فعالیت‌های روی صفحه اپلیکیشن‌های کیف پول رمزارزی را ثبت کند و اکنون کاربران ویندوزی را در چندین کشور هدف قرار داده و به یکی از تهدیدهای مهم برای امنیت دارایی‌های رمزارزی تبدیل شده است.
روش انتشار بدافزار OkoBot با کلیک‌فیکس و نرم‌افزارهای جعلی
کمپین OkoBot تاکنون صدها کاربر را در بیش از 25 کشور هدف قرار داده است. بر اساس داده‌های کسپرسکی، بیشترین میزان شناسایی این تهدید در کشورهای برزیل، ویتنام، کانادا، مکزیک و ترکیه گزارش شده است. این شرکت امنیتی تأکید کرده که کمپین مذکور هنگام انتشار تحلیل فنی جامع آن در 15 جولای 2026 همچنان فعال بوده و عملیات مخرب آن ادامه داشته است.
بر اساس یافته‌های پژوهشگران، بدافزار OkoBot از طریق کلاهبرداری‌های کلیک‌فیکس و نرم‌افزارهای مخربی که در گیت‌هاب تبلیغ می‌شوند، به سیستم‌های ویندوزی نفوذ می‌کند. در این حملات، مهاجمان با نمایش خطاهای جعلی یا دستورالعمل‌های ساختگی برای تأیید، کاربران را متقاعد می‌کنند تا دستورات مخرب را در پاورشل (PowerShell) یا پنجره اجرای ویندوز (Windows Run Dialog) وارد کرده و اجرا کنند.
در یکی از نمونه‌های شناسایی‌شده، یک مخزن در گیت‌هاب نسخه جعلی نرم‌افزار Microsoft SQL Server Management Studio را منتشر کرده بود و به دلیل قرار گرفتن در رتبه‌های بالای نتایج جست‌وجوی مرتبط با SSMS، کاربران زیادی را هدف قرار می‌داد. فایل README این مخزن با الگوبرداری از راهنماهای رسمی نصب محصولات مایکروسافت طراحی شده بود تا ظاهری معتبر به آن ببخشد، اما فایل دانلودی در حقیقت نسخه‌ای دستکاری‌شده از نرم‌افزار Audacity بود که بدافزار در یکی از کتابخانه‌های آن جاسازی شده بود. این مخزن از مارس تا ژوئن 2025 فعال بود.
ایجاد دسترسی پایدار و سرقت اطلاعات از سیستم‌های آلوده
پس از اجرای اسکریپت مخرب پاورشل با نام TookPS، این کد مخرب سرویس SSH را روی سیستم قربانی نصب کرده و رایانه را به یک سرور تحت کنترل مهاجم متصل می‌کند. سپس یک بات خودکار (Automated Bot) اطلاعاتی مانند نام کاربری، نسخه سیستم‌عامل ویندوز، جزئیات نرم‌افزار آنتی‌ویروس و آدرس IP را جمع‌آوری کرده و در ادامه، فایل‌های کیف پول رمزارزی، کوکی‌های مرورگر، پروفایل‌های کاربری و اطلاعات ورود ذخیره‌شده را سرقت می‌کند.
بدافزار OkoBot با ایجاد این ارتباط از راه دور، به مهاجمان اجازه می‌دهد کنترل سیستم آلوده را در مدت طولانی حفظ کرده و آن را برای فعالیت‌های بعدی آماده کنند. مهاجمان پس از دسترسی به سیستم آلوده، اقدامات زیر را برای حفظ کنترل و ایجاد دسترسی پایدار انجام می‌دهند:
- غیرفعال کردن اعلان‌های ویندوز دیفندر (Windows Defender) برای کاهش احتمال شناسایی فعالیت‌های مخرب
- باز کردن پورت‌های فایروال برای فعال‌سازی دسترسی دسکتاپ از راه دور
- ایجاد یک حساب کاربری جدید برای دسترسی از راه دور به سیستم قربانی
- تغییر یکی از فایل‌های سیستمی ویندوز برای امکان برقراری چند نشست هم‌زمان از طریق پروتکل RDP (Remote Desktop Protocol)
علاوه بر این، مهاجمان یک تسک زمان‌بندی‌شده (Scheduled Task) با نام Apple Sync ایجاد می‌کنند که هر ساعت اتصال مجدد سیستم آلوده را به زیرساخت تحت کنترل خود برقرار می‌کند. این روش به آن‌ها امکان می‌دهد دسترسی خود به سیستم قربانی را در طول زمان حفظ کرده و کنترل مداوم آن را در اختیار داشته باشند.
OkoSpyware کامپوننت جاسوسی بدافزار OkoBot
همچنین پژوهشگران اعلام کردند که این کمپین از طریق اتصال SSH، کامپوننت‌های مخرب دیگری را نیز روی سیستم‌های آلوده مستقر می‌کند. یکی از ایمپلنت‌های شناسایی‌شده در این عملیات، OkoSpyware است که قابلیت ضبط ویدئو از صدها پنجره اپلیکیشن‌های کیف پول رمزارزی را دارد و هم‌زمان کلیدهای فشرده‌شده کاربر (Keystrokes) را ثبت می‌کند.
از جمله اپلیکیشن‌های هدف این کامپوننت می‌توان به موارد زیر اشاره کرد:
- Exodus
- MetaMask
- Tonkeeper
- Litecoin QT
- KeePassXC
- 1Password
هدف قرار دادن کیف پول‌های سخت‌افزاری با SeedHunter
در این کمپین، دارندگان کیف پول‌های سخت‌افزاری نیز هدف قرار گرفته‌اند. در این بخش از حمله، مهاجمان از کامپوننت مستقلی با نام SeedHunter استفاده می‌کنند که با تزریق کد مخرب به کیف پول‌های سخت‌افزاری پرکاربرد، تلاش می‌کند اطلاعات حساس کاربران را سرقت کند. برخی از کیف پول‌های هدف این حمله عبارتند از:
- Trezor Suite
- Ledger Live
- Ledger Wallet
بدافزار OkoBot پس از شناسایی یک کیف پول سخت‌افزاری متصل به سیستم، یک صفحه بازیابی جعلی متناسب با مدل دستگاه نمایش می‌دهد تا کاربر را فریب دهد. سپس هر عبارت بازیابی که توسط کاربر وارد شود، به سرور فرماندهی تحت کنترل مهاجمان ارسال می‌شود.
افزونه‌های مخرب مرورگر
یکی دیگر از روش‌های مورد استفاده در این کمپین، استفاده از افزونه‌های مخفی و مخرب نصب‌شده روی مرورگرهای مبتنی بر کرومیوم (Chromium) برای رصد فعالیت کاربران رمزارزی است.
بدافزار OkoBot با دست‌کاری پردازه‌های مرورگر، افزونه‌های مخرب را بارگذاری کرده، مجوزهای درخواستی آن‌ها را اعطا می‌کند، هشدارهای امنیتی مرتبط را غیرفعال یا پنهان می‌سازد و در نهایت آن‌ها را از فهرست افزونه‌های قابل مشاهده برای کاربر مخفی می‌کند.
پژوهشگران کسپرسکی نتوانستند OkoBot را به هیچ گروه شناخته‌شده‌ای از مجرمان سایبری نسبت دهند. با این حال، بررسی‌ها نشان داد سرورهای این بدافزار اتصال‌های ورودی از روسیه و سایر کشورهای عضو جامعه کشورهای مستقل مشترک‌المنافع (CIS) را مسدود می‌کنند. همچنین بخش‌هایی از کد بدافزار حاوی کامنت‌هایی به زبان روسی است.
هرچند این شواهد احتمال نقش داشتن افراد روسی‌زبان در این کمپین را مطرح می‌کند، اما اطلاعات موجود برای شناسایی محل فعالیت گردانندگان آن کافی نیست. بنابراین، هنوز مشخص نیست این عملیات از روسیه، اوکراین، یکی از کشورهای عضو جامعه کشورهای مستقل مشترک‌المنافع (CIS) یا کشور دیگری هدایت می‌شود.
توصیه‌های امنیتی برای محافظت از دارایی‌های رمزارزی
کسپرسکی از کاربران خواسته است برای محافظت از دارایی‌های رمزارزی خود، توصیه‌های امنیتی زیر را دنبال کنند:
- اگر وب‌سایت یا پیامی با عنوان پشتیبانی از شما خواست دستوری را در پاورشل اجرا کنید، از انجام این کار خودداری کرده و بلافاصله صفحه را ببندید.
- ابزارهای مرتبط با رمزارز و ابزارهای توسعه (Development Tools) را فقط از وب‌سایت رسمی توسعه‌دهنده یا منابع معتبر دانلود کرده و از دریافت آن‌ها از مخازن ناشناس گیت‌هاب یا لینک‌های موجود در نتایج جست‌وجو خودداری کنید.
- عبارت بازیابی کیف پول خود را هرگز در صفحات یا فرم‌های ناشناس وارد نکنید؛ حتی اگر آن صفحه در ظاهر بخشی از اپلیکیشن‌های Ledger یا Trezor به نظر برسد.
- اگر عبارت بازیابی خود را در یک صفحه یا پنجره مشکوک وارد کرده‌اید، با استفاده از یک دستگاه مطمئن، یک کیف پول جدید ایجاد کرده و دارایی‌های خود را در سریع‌ترین زمان ممکن به آن منتقل کنید.
- در صورتی که عبارت بازیابی افشا شده باشد، تغییر رمز عبور اپلیکیشن کیف پول به‌تنهایی از دارایی‌های شما محافظت نخواهد کرد، زیرا مهاجمان همچنان می‌توانند با استفاده از عبارت بازیابی به کیف پول دسترسی پیدا کنند.
