كشف خبراء أمن المعلومات عن حملة خبيثة جديدة تحمل اسم OkoBot تستهدف مستخدمي العملات المشفرة، عبر إطار متطور ينشر برمجية TookPS لاستخراج عبارات الاسترداد، إلى جانب وحدة OkoSpyware لمراقبة المتصفحات المعتمدة على محرك Chromium.
وبحسب نتائج التحليل، استخدمت الحملة كذلك برمجيات خبيثة متعددة، من بينها Rilide المخصصة لسرقة البيانات. واستهدفت الهجمات مئات الضحايا في أكثر من 25 دولة، بينما سُجلت الأعداد الأكبر من المستخدمين المتضررين في البرازيل وفيتنام وكندا والمكسيك وتركيا.
قدرات متعددة ومسارات إصابة
رصد فريق البحث والتحليل العالمي في كاسبرسكي، خلال يناير 2026، هجمات استخدمت برمجية خبيثة لم تكن معروفة سابقًا وقادرة على تسجيل محتوى نوافذ محافظ العملات المشفرة. ويضم إطار OkoBot أكثر من 20 حمولة خبيثة وأداة زرع، تشمل جمع الملفات المحلية، وتنفيذ أوامر عن بُعد، وتنزيل إضافات متصفح عشوائية، وسرقة محتوى المحافظ وبيانات الاعتماد وعبارات الاسترداد، فضلًا عن تسجيل الفيديوهات.
ومن الأدوات المستخدمة أداة تحميل تعدّل ذاكرة المتصفح لتحميل الإضافات الخبيثة وإخفائها، فيما تتولى وحدة OkoSpyware تسجيل ضغطات المفاتيح وبث المحتوى المرئي لنافذة التطبيق المستهدف.
وتحدث الإصابة الأولية عبر هجمات ClickFix التي تعتمد الهندسة الاجتماعية لدفع المستخدم إلى تشغيل برمجيات خبيثة، أو من خلال برمجيات تُنشر على GitHub في صورة برامج تبدو شرعية. كما رصد الباحثون ملف تنصيب مزيفًا لبرنامج SQL Server Management Studio (SSMS) من مايكروسوفت.
ويتضمن الإطار مكونًا باسم SeedHunter يراقب عمليات النظام ويحقن أدوات خبيثة في تطبيقات Trezor Suite وLedger Wallet وLedger Live. وعند اكتشاف محفظة متصلة بتطبيق Trezor أو Ledger، يعرض صفحة تصيد مصممة بحسب نوع المحفظة لسرقة عبارة الاسترداد.
وقال ديمتري غالوف، رئيس وحدة روسيا ورابطة الدول المستقلة في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن الحملة نشطة منذ أكثر من عام واستمرت حتى يوليو 2026، مشيرًا إلى أن المطورين من أبرز أهدافها. ولم تتوافر معلومات كافية لنسب الحملة بثقة عالية إلى جهة معروفة، رغم رصد تقنيات وآثار برمجية باللغة الروسية.
نور في الطريق
