OkoBot es un nuevo marco de malware que distribuye más de 20 cargas útiles para robar datos sensibles, incluyendo frases semilla de billeteras de criptomonedas y credenciales de usuario. Esta amenaza se propaga mediante ataques ClickFix y repositorios maliciosos en GitHub que simulan ofrecer software legítimo.
Por qué importa: OkoBot representa un riesgo significativo para usuarios de criptomonedas al capturar frases de recuperación que permiten el acceso total a sus activos digitales.
Lo esencial
OkoBot utiliza un bot SSH para recopilar datos del sistema y desactivar notificaciones de Windows Defender.
Entre sus 20 módulos destaca SeedHunter, que roba frases semilla de billeteras como Trezor y Ledger.
La mayoría de víctimas se encuentran en Brasil, aunque la campaña tiene alcance global.
Imagen de referencia: BleepingComputer.
Cadena de infección y evolución desde TookPS
La campaña OkoBot, activa desde enero de 2026, es una evolución del malware TookPS detectado desde marzo de 2025. El ataque inicia con un script PowerShell que instala un bot SSH encargado de configurar el entorno y descargar los módulos maliciosos. Este bot también recopila información del sistema, como nombre de usuario, software antivirus, dirección IP y versión del sistema operativo, además de desactivar las alertas de Windows Defender para evitar detección.
Módulos clave para el robo de criptomonedas
OkoBot incluye más de 20 cargas útiles, entre las que destacan extensiones maliciosas para Chrome que roban credenciales y cookies, y SeedHunter, que inyecta código en aplicaciones como Trezor Suite y Ledger Live para mostrar pantallas falsas de recuperación de frases semilla. Estas frases permiten a los atacantes acceder y vaciar las billeteras de las víctimas sin posibilidad de recuperación.
Alcance geográfico y pistas sobre el origen
Según Kaspersky, Brasil es el país con más víctimas, seguido por Vietnam, Canadá, México y Turquía. La campaña evita infectar sistemas con IPs de Rusia y países de la Comunidad de Estados Independientes (CEI), lo que junto a comentarios en ruso en el código sugiere un origen ruso o de habla rusa. Sin embargo, no se ha atribuido formalmente a ningún grupo específico.
Impacto y recomendaciones para afectados
El robo de frases semilla y credenciales pone en riesgo directo los activos digitales de los usuarios. Organizaciones y usuarios deben revisar sus sistemas para detectar extensiones sospechosas y monitorear accesos inusuales a sus billeteras. Kaspersky continúa analizando la campaña para identificar nuevas variantes y métodos de mitigación.
Preguntas frecuentes sobre OkoBot
¿Cómo se propaga OkoBot?
Principalmente a través de ataques ClickFix y repositorios maliciosos en GitHub que simulan software legítimo, como versiones trojanizadas de herramientas populares.
¿Qué tipo de datos roba OkoBot?
Roban frases semilla de billeteras de criptomonedas, credenciales de usuario, cookies de navegador, archivos de billeteras y capturan actividad del teclado y pantalla.
