LONDON (IT BOLTWISE) – Kaspersky warnt vor dem Malware-Framework OkoBot, das Wallet-Nutzer über die Desktop-Apps von Ledger und Trezor gezielt zur Eingabe von Recovery Phrases bringt. Besonders tückisch: Das Phishing rendert die Betrugsseite in der legitimen Elektron-App selbst und wartet teils, bis ein Gerät per USB tatsächlich angeschlossen ist. Laut Telemetrie des GReAT-Teams liefen die Angriffe seit April 2025 auf Windows, mit Opfern in über 25 Ländern. Für Unternehmen und Security-Teams ist die Meldung vor allem deshalb relevant, weil es keine klassische Wallet-Sicherheitslücke im Gerät gibt, sondern ein Kompromiss auf dem Endpoint.
Ein aktuelles Teardown von Kaspersky’s GReAT-Team beschreibt ein Setup, das sich wie ein „inside job“ anfühlt: OkoBot läuft laut Report seit April 2025 auf Windows-Systemen und missbraucht die Desktop-Software von Hardware-Wallets, um Recovery Phrases abzugreifen. Der zentrale Mechanismus nennt sich SeedHunter und setzt genau dort an, wo Nutzer Vertrauen haben: Nicht eine fremde Webseite fordert die 24 Wörter an, sondern eine Seite, die innerhalb der bereits installierten Wallet-App angezeigt wird. In der Telemetrie sieht das Team Hunderte betroffene Nutzer in mehr als 25 Ländern; wie viele davon tatsächlich eine Phrase eingetippt haben, bleibt allerdings offen.
Technisch fällt auf, wie SeedHunter die App-Logik umgeht, statt etwa nur Overlays über den Bildschirm zu legen. Sobald das Framework landet, überwacht es, ob Trezor Suite, Ledger Wallet oder Ledger Live gestartet sind, und injiziert sich in die jeweils gefundene Anwendung. Besonders relevant ist dabei der Angriff auf Electron-Internals: Das Malware-Modul kann den UI-Fluss der legitimen Software übernehmen und eine „Hard-coded“-Recovery-Seite mit Layout-Varianten pro Brand zeichnen. Je nach C2-Konfiguration wird entweder sofort angezeigt oder ein „Wait“-Flag triggert ein USB-Scanning anhand Vendor- und Product-IDs, bis ein echtes Gerät steckt.
Beim Abgreifen der Eingaben wird die Legitimität weiter ausgenutzt: Die getippte Phrase landet nicht in einer Web-Forms-Schlucht, sondern in einer Konsole der Betrugsseite, die hinter einem Marker wie „@: app: print“ konfiguriert ist. Danach fängt eine „hooked mal_LogConsoleMessage“ die Ausgabe ab, bevor sie als JSON weitergegeben wird. Auffällig ist zudem, dass der Prozess nicht nur Daten verschickt, sondern auch eine RC4-kodierte Kopie in einer Temp-Datei ablegt. Das Wallet selbst soll dabei nicht „gebrochen“ werden; stattdessen profitiert die Malware davon, dass Companion-Software Nutzer zur Eingabe auffordert. Genau dieses Zusammenspiel aus Endpoint- und App-Manipulation macht die Abwehr besonders anspruchsvoll.
Für das Marktbild liefert der Report mehrere Vergleichspunkte: SeedHunter ist nicht der erste Ansatz, der Recovery-Seiten unterzuschieben versucht. Moonlock Lab hatte bereits macOS-Stealer beschrieben, die ähnliche Swap-Mechaniken verfolgen. Auch frühere Berichte über klonierte Ledger-Live-Apps mit gefälschter 24-Word-Anforderung sind dem Kontext verwandt. GlassWorm wiederum zeigte für Windows im März 2025, wie WMI genutzt wird, um das Einstecken eines Geräts zu erkennen und dann eine eigene Oberfläche einzublenden, nachdem die echte Wallet-App beendet wurde. Neu ist bei OkoBot vor allem, dass die Betrugsseite nicht extern gerendert wird, sondern direkt im laufenden Wallet-Prozess gezeichnet wird.
Der eigentliche Einstieg in die Kampagne erfolgt laut Kaspersky über zwei Pfade: einen ClickFix-Lure sowie trojanisierte Softwarepakete, die zeitweise in einem vermeintlichen „SQL Server Management Studio“-Kontext auftauchten. Stattdessen sei Audacity ausgeliefert worden, rekonstruiert mit einem Implantat in einer Library. Beide Wege sollen schließlich „TookPS“ starten, ein PowerShell-Downloader, den Kaspersky seit März 2025 verfolgt. TookPS verbindet sich mit einem angreifergesteuerten Server und baut später einen SSH-Tunnel, sodass eine automatisierte SSH-Bot-Instanz aus dem Internet heraus in der Lage ist, das kompromittierte System zu inventarisieren und Daten wie Wallet-Dateien, Cookies, Browser-Profile und Credentials über denselben Kanal abzuziehen.
Zum Persistenz- und Zugriffsausbau nutzt die Kampagne mehrere hochintegrierte Schritte. Der Report nennt unter anderem einen Registry-Write zum Unterdrücken von Defender-Benachrichtigungen, das Öffnen der Firewall für eingehendes RDP, das Hinzufügen eines Kontos zur „Remote Desktop Users“-Gruppe sowie das Ersetzen von „termsrv.dll“ durch eine gepatchte Variante für parallele RDP-Sessions. Dazu kommt eine geplante Aufgabe namens „Apple Sync“, die jede Stunde eine Reverse-SSH-Tunnel-Verbindung für den lokalen RDP-Port neu aufbaut. Danach sollen Module über SFTP nachgeladen werden, gestartet durch einen VMProtect-geschützten Launcher (HDUtil) mit möglicher stiller Privileg-Eskalation per Windows-RPC UAC-Bypass, dokumentiert in früheren Sicherheitsforschungen.
Für die weitere Reichweite wird OkoBot als Framework beschrieben, das mehr als 20 Payloads/Implants bündelt und zum Zeitpunkt des Reports (Stand 15. Juli) weiterhin aktiv war. Neben dem SeedHunter-Mechanismus wird eine breite Spionage- und Sammlungsschicht aufgebaut: OkoSpyware überwacht über 100 Prozessnamen inklusive Tools wie „Exodus“ und „1Password“, filmt zugehörige Fenster als MP4 (mit eingebettetem FFmpeg) und erfasst Tastatureingaben. Browser-Titel werden regex-matched, sodass Sessions etwa mit MetaMask oder Tonkeeper protokolliert werden. Daneben liefert „MC Keylogger“ Input, Clipboard, USB-Events und Screenshots im Fünf-Minuten-Takt. Zusätzlich installiert ein Loader versteckte Chromium-Extensions mit weitreichenden Berechtigungen; genannt wird dabei „Rilide“, ein seit 2023 eingesetzter Chromium-Stealer. Ein klarer regulatorischer Punkt folgt daraus: Für Unternehmen ist die Kombination aus Credential-Diebstahl, Gerätezugriff und Remote-Access potenziell meldepflichtig, je nach Jurisdiktion, weil personenbezogene Daten und Zugriffsrechte betroffen sind.
Beim Attribution-Teil bleibt Kaspersky bewusst vage: Man könne die Kampagne keinem bekannten Crimeware-Actor eindeutig zuordnen. Die Infrastruktur-Signale seien jedoch konsistent, etwa indem die ersten-stage PowerShell-Server für russische und CIS-IPs nur eine leere Antwort liefern. Die SeedHunter-Phishingseiten tragen dem Report zufolge russische Kommentare, während Rilide in invitation-only russischsprachigen Foren weitergereicht werde. Auch für die Abwehr gilt ein differenziertes Bild: Der Report sieht keine spezifische Wallet-CVE und keine reine Vendor-Patch-Lösung, weil der Angriff am Endpoint und in der Companion-App ansetzt. Ledger und Trezor betonen entsprechend, dass die Recovery Phrase nur auf der Geräteseite verarbeitet werde bzw. nur wenn das Gerät es anfordert. Entscheidend für die Früherkennung: Erscheint eine Recovery-Seite „weil Sie das Gerät eingesteckt haben“, aber ohne dass auf dem Hardware-Display eine entsprechende Eingabeaufforderung sichtbar ist, ist das ein starkes Warnsignal. Perspektivisch deutet der Report zudem auf schnelle Modifikationen hin: Nach März 2026 sei eine frühere Chain (TeviRAT bis hin zur HDUtil→Rilide-Kette) zusammengeführt worden, wodurch weniger Einzelartefakte entstehen und Monitoring stärker auf konsistentes Verhalten (Injection in Electron, USB-Triggered UI, Reverse-Tunnel-Persistenz) ausgerichtet werden muss.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OkoBot steckt in Wallet-Apps: Seed-Phrase-Phishing per USB-Trigger und C2-Flags" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OkoBot steckt in Wallet-Apps: Seed-Phrase-Phishing per USB-Trigger und C2-Flags" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OkoBot steckt in Wallet-Apps: Seed-Phrase-Phishing per USB-Trigger und C2-Flags« bei Google Deutschland suchen, bei Bing oder Google News!