Il malware OkoBot sta prendendo di mira gli utenti di wallet hardware su Windows con una tecnica di phishing sulla seed phrase particolarmente insidiosa. Invece di mostrare una pagina fasulla nel browser o installare una copia clonata del software, OkoBot inietta direttamente un contenuto malevolo dentro le applicazioni originali di Ledger e Trezor, sfruttando il fatto che molti wallet desktop sono basati su Electron.
Il risultato è che la richiesta della frase di recupero sembra provenire dall’app legittima che l’utente ha installato e usa ogni giorno.
Il modulo responsabile del furto della recovery phrase viene indicato come SeedHunter. Dopo l’infezione, controlla la presenza di Trezor Suite, Ledger Wallet e Ledger Live e si aggancia ai componenti interni dell’app, per poi contattare un server di comando e controllo. In alcuni casi attende anche il collegamento fisico del dispositivo: se è impostato un flag di attesa, il malware monitora le periferiche USB tramite identificativi vendor e product e attiva la schermata di recupero solo quando rileva un vero Ledger o Trezor collegato. Questa tempistica aumenta la credibilità della richiesta e riduce i sospetti.
La seed phrase digitata dall’utente viene intercettata tramite log della console interna e inviata all’infrastruttura del gruppo sotto forma di dati strutturati, con ulteriori copie salvate temporaneamente. Il punto chiave è che il wallet hardware non viene violato: il dispositivo continua a proteggere le chiavi private, ma non può impedire che il software companion chieda all’utente di inserire le 24 parole in una schermata apparentemente normale.
La catena di infezione osservata include esche ClickFix e software trojanizzati pubblicati online. Un esempio è un progetto che prometteva SQL Server Management Studio ma distribuiva invece Audacity modificato con una libreria malevola. Da lì parte un downloader PowerShell che abilita accesso remoto, crea tunnel SSH, prepara RDP, modifica file di sistema per consentire sessioni multiple e installa task pianificati persistenti. In seguito vengono scaricati moduli aggiuntivi per furto di cookie, profili browser, credenziali e per sorveglianza, inclusi keylogger e registrazione video delle finestre legate a wallet e password manager.
Segnali utili per la difesa endpoint
- Task sospetti come “Apple Sync”.
- Eseguibili in percorsi anomali.
- Modifiche a termsrv.dll.
- Connessioni SSH in uscita da postazioni utente.
- Estensioni Chromium nascoste nei profili locali.