Kaspersky's GReAT (Global Research and Analysis Team) a publié le 15 juillet 2026 une analyse technique détaillée d'OkoBot, un framework malware Windows modulaire actif depuis avril 2025. Le framework comporte plus de 20 payloads et implants distincts et a infecté des centaines de victimes dans plus de 25 pays, avec des concentrations particulièrement élevées au Brésil, au Vietnam, au Canada, au Mexique et en Türkiye. Son module le plus distinctif, baptisé SeedHunter, cible les utilisateurs de hardware wallets en injectant de fausses interfaces de récupération de seed phrase directement dans les applications Ledger Live, Ledger Wallet et Trezor Suite, sans remplacer ces applications. La manipulation est imperceptible : les applications légitimes continuent de fonctionner normalement, mais quand un portefeuille matériel est connecté, SeedHunter affiche une fausse page de vérification qui demande à l'utilisateur de saisir sa phrase de récupération.
La phrase de récupération, aussi appelée seed phrase ou phrase mnémotechnique, est la clé maîtresse d'un portefeuille crypto. Elle consiste en 12 à 24 mots dans un ordre spécifique qui permet de restaurer un portefeuille et d'accéder à tous les fonds qu'il contrôle, quel que soit l'appareil utilisé. Quiconque possède la seed phrase possède les fonds. SeedHunter capture ces mots au moment où l'utilisateur les saisit, les chiffre avec RC4, et les envoie au serveur de commande et contrôle hébergé sur moonsand[.]store. L'attaquant peut ensuite vider le portefeuille de la victime à tout moment, depuis n'importe quel appareil, sans aucune limite technique.
Les campagnes de phishing crypto précédentes utilisaient principalement deux approches : créer de fausses versions de Ledger Live ou Trezor Suite distribuées via des domaines imitateurs ou de faux dépôts de téléchargement, ou diriger les victimes vers des sites web qui reproduisaient l'interface des applications légitimes. Ces deux approches ont un défaut commun : l'utilisateur qui vérifie l'URL du site web ou l'empreinte numérique de l'application téléchargée peut détecter l'anomalie avant de saisir sa seed phrase.
L'approche de SeedHunter est fondamentalement différente. Elle n'implique pas de fausse application ni de faux site. Elle injecte du code dans les applications légitimes elles-mêmes en hookant leurs internals Electron, le framework JavaScript sur lequel sont construites à la fois Ledger Live et Trezor Suite. Electron est un framework populaire pour construire des applications de bureau cross-platform en utilisant des technologies web (HTML, CSS, JavaScript), mais il expose également des API internes que du code malveillant peut exploiter pour modifier le comportement de l'application en temps réel. SeedHunter hook ces API Electron pour intercepter le cycle de rendu de l'interface utilisateur et injecter une page supplémentaire de vérification de seed phrase au moment approprié.
Du point de vue de l'utilisateur, tout semble normal. L'application Ledger Live ou Trezor Suite qu'il utilise est son installation habituelle, avec sa version habituelle, lancée depuis son raccourci habituel. Quand il connecte son hardware wallet et qu'une demande de vérification de seed phrase apparaît, cela ressemble à une vérification de sécurité légitime de l'application elle-même, pas à un site de phishing externe. C'est précisément cette impossibilité de détecter l'anomalie par les moyens habituels qui rend SeedHunter particulièrement redoutable.
OkoBot utilise deux vecteurs de distribution principaux identifiés par Kaspersky. Le premier est les campagnes d'ingénierie sociale ClickFix. ClickFix est une technique d'infection qui affiche de fausses erreurs système ou des messages de vérification qui demandent à l'utilisateur de "cliquer pour corriger" une erreur, déclenchant ainsi l'exécution d'une commande PowerShell malveillante que l'utilisateur colle lui-même dans son terminal de commande. La technique contourne les protections d'exécution automatique du navigateur en faisant exécuter la commande par l'utilisateur de façon semi-volontaire, après avoir été convaincu que c'est nécessaire pour résoudre un problème technique.
Le deuxième vecteur est plus subtil et illustre l'exploitation de la confiance accordée aux dépôts open source. Kaspersky a identifié des dépôts GitHub trojanisés qui se présentaient comme des distributions de SQL Server Management Studio (SSMS), l'outil d'administration de base de données Microsoft. Les dépôts contenaient réellement un logiciel fonctionnel pour tromper les victimes : ils distribuaient Audacity, l'éditeur audio open source gratuit, avec du code malveillant intégré. Cette approche cible spécifiquement les développeurs et les administrateurs de bases de données qui cherchent des versions alternatives de SSMS, une population habituellement plus à l'aise avec les logiciels tiers et plus encline à télécharger des outils depuis GitHub. Ces dépôts malveillants étaient actifs de fin mars à juin 2025.
Dans les deux cas, le payload initial est TookPS, un downloader PowerShell tracé depuis mars 2025. TookPS télécharge et installe les composants OkoBot appropriés pour la machine cible, en commençant par les implants de persistance et en ajoutant progressivement les modules de surveillance et d'exfiltration selon les objectifs de l'opérateur.
Une fois installé, OkoBot établit une persistance qui va bien au-delà d'une simple entrée dans le registre de démarrage Windows. Le framework crée un tunnel SSH avec des connexions inverses vers l'infrastructure C2, permettant aux opérateurs d'accéder à la machine compromise même depuis derrière des pare-feux qui bloquent les connexions entrantes. Le tunnel SSH est maintenu par une tâche planifiée nommée "Apple Sync", un nom choisi pour se fondre dans l'environnement comme une synchronisation légitime de services Apple.
OkoBot active également l'accès RDP (Remote Desktop Protocol) sur les machines infectées en modifiant termsrv.dll, la DLL du service Terminal Server de Windows, pour permettre des sessions simultanées. Par défaut, Windows limite les sessions RDP au bureau des éditions Workstation, et la modification de termsrv.dll est une technique connue mais non officielle pour contourner cette limitation. Cette modification donne aux opérateurs d'OkoBot un canal d'accès à distance supplémentaire et leur permet de se connecter graphiquement à la machine infectée pour exécuter des actions qui seraient difficiles à automatiser via un simple tunnel de commandes.
La suppression des notifications Windows Defender via une modification du registre Windows complète le dispositif de persistance. Cette modification ne désactive pas Defender entièrement (ce qui serait plus facilement détectable par les outils de monitoring) mais supprime ses alertes utilisateur, réduisant la probabilité que la victime remarque et réagisse à une détection éventuelle par l'antivirus. L'accumulation de ces mécanismes de persistance, tunnel SSH, accès RDP, tâche planifiée masquée, et suppression des alertes antivirus, crée un foothold qui résiste aux mesures de remédiation superficielles et qui nécessite une investigation systématique plutôt qu'une simple suppression de l'exécutable principal.
Au-delà de SeedHunter, OkoBot déploie plusieurs modules de surveillance complémentaires. Les enregistrements vidéo des applications ciblées constituent l'une des capacités les plus révélatrices du framework : OkoBot enregistre des vidéos de l'utilisation d'Exodus (autre portefeuille crypto), 1Password, MetaMask, et Tonkeeper, capturant ainsi l'activité de l'utilisateur sur ces applications dans des vidéos qui permettent aux opérateurs de reconstituer les actions effectuées, les soldes visibles, et les interactions avec les interfaces qui peuvent révéler des informations sensibles supplémentaires.
Le keylogging combiné à des captures d'écran toutes les cinq minutes fournit un flux continu d'informations sur l'activité de la victime. Les captures d'écran à intervalles réguliers permettent aux opérateurs d'identifier quand la victime utilise des applications ou des sites web intéressants, même si ces activités ne déclenchent pas de module spécialisé. Le keylogging capture les mots de passe saisis manuellement, les messages de communication, et les recherches effectuées. Ces deux méthodes de surveillance générale complètent les modules ciblés comme SeedHunter et fournissent aux opérateurs un contexte sur l'environnement et les comportements de chaque victime.
OkoBot déploie également des extensions Chromium cachées avec des permissions complètes, permettant au framework d'accéder au contenu des pages web dans le navigateur de la victime, d'intercepter les formulaires de connexion, et d'exfiltrer les cookies de session. Rilide, un stealer déjà documenté depuis avril 2023 et associé aux forums cryptés russophones sur invitation seulement, est intégré dans l'arsenal d'OkoBot pour ces opérations de vol de données dans le navigateur. L'intégration de Rilide dans OkoBot est l'un des éléments qui conduisent Kaspersky à suspecter une connexion avec des acteurs russophones, même si l'attribution formelle n'est pas possible avec les seules preuves techniques disponibles.
Kaspersky's GReAT a déclaré ne pas pouvoir attribuer OkoBot à un acteur de menace connu. Les indicateurs contextuels qui orientent vers un ou des opérateurs russophones incluent les commentaires en langue russe dans le code source identifié, le comportement des serveurs C2 qui retournent des réponses vides aux requêtes provenant d'adresses IP russes ou de pays de la Communauté des États Indépendants (CIS), et l'utilisation de Rilide qui circule exclusivement sur des forums russophones accessibles uniquement sur invitation. Ces éléments sont convergents mais ne constituent pas une attribution définitive : un acteur qui veut brouiller les pistes peut délibérément incorporer ces caractéristiques sans être lui-même russophone.
La distribution géographique des victimes, concentrée au Brésil, au Vietnam, au Canada, au Mexique et en Türkiye avec plus de 25 pays touchés, est cohérente avec une opération qui évite délibérément les pays CIS pour réduire le risque de poursuites judiciaires locales et maximiser la difficulté des demandes d'entraide judiciaire internationale. Cette géographie de victimes est un pattern récurrent dans les opérations cybercriminelles présumément basées en Russie ou dans des pays qui maintiennent des relations de non-extradition avec les juridictions occidentales.
Les IOC publiés par Kaspersky permettent aux équipes de sécurité de vérifier si OkoBot est présent dans leur environnement. La tâche planifiée "Apple Sync" dans le planificateur de tâches Windows est un indicateur direct de la persistance du tunnel SSH. Les fichiers %PROGRAMDATA%\hwid.dat et %PROGRAMDATA%\HDVideo\HDUtil.exe sont des artefacts de l'installation OkoBot. Le fichier %USERPROFILE%\.ssh\go.bat est associé au mécanisme de tunnel SSH. Une signature altérée de termsrv.dll indique la modification pour les sessions RDP multiples.
Au niveau réseau, les connexions SSH sortantes depuis des endpoints utilisateurs (plutôt que depuis des serveurs d'administration) sont inhabituelles et méritent une investigation. Les comptes ajoutés au groupe "Remote Desktop Users" sans justification administrative sont un signal d'alerte. Les extensions de navigateur Chromium présentes dans les profils utilisateurs qui n'ont pas été installées via une politique d'entreprise ou une action connue de l'utilisateur doivent être examinées, en particulier celles qui disposent de permissions d'accès à toutes les URL ou d'accès aux cookies.
Pour les utilisateurs de hardware wallets qui pensent avoir pu être exposés à OkoBot, la première action est de ne plus utiliser la seed phrase soupçonnée d'avoir été compromise sur aucune plateforme. Si la seed phrase a été saisie sur une machine compromise, les fonds doivent être transférés vers un nouveau portefeuille avec une nouvelle seed phrase générée sur un appareil propre avant de prendre toute autre action. La réponse à une fuite d'identifiants s'applique ici avec une urgence particulière : contrairement à un mot de passe de compte web qui peut être réinitialisé après la détection, une seed phrase compromise ne peut pas être "changée" sans migrer tous les actifs vers un nouveau portefeuille. L'action doit précéder la confirmation de la compromission, pas l'attendre.
La proposition de valeur centrale des hardware wallets comme Ledger et Trezor est que les clés privées ne quittent jamais le dispositif matériel sécurisé. L'idée est que même si la machine hôte est compromise, l'attaquant ne peut pas extraire les clés privées parce qu'elles sont stockées dans un environnement d'exécution de confiance (TEE) ou un secure element sur le hardware wallet lui-même, et que toutes les transactions doivent être confirmées physiquement sur le dispositif. Cette architecture protège effectivement contre les attaques qui tentent d'extraire les clés privées directement depuis le hardware wallet.
SeedHunter contourne cette protection en ciblant non pas les clés privées dans le hardware wallet mais la seed phrase qui sert à les dériver. La seed phrase est la représentation en mots de l'entropie utilisée pour générer toutes les clés d'un portefeuille hiérarchique déterministe (HD wallet). Elle n'est pas stockée sur le hardware wallet de façon récupérable par un logiciel : elle est encodée dans l'élément sécurisé et ne peut en théorie être obtenue que si l'utilisateur la saisit intentionnellement pour restaurer son portefeuille sur un nouvel appareil. OkoBot exploite précisément ces moments de saisie intentionnelle : en affichant une fausse interface de vérification au moment où l'utilisateur a son wallet connecté, il crée un prétexte convaincant pour que l'utilisateur saisisse sa seed phrase sur la machine hôte compromise. C'est la seed phrase saisie sur l'application légitime (hookée) qui est capturée, pas les clés extraites du hardware wallet.
Cette distinction est importante pour comprendre les limites de la sécurité offerte par les hardware wallets. Ils protègent les clés privées contre l'extraction logicielle directe. Ils ne protègent pas les utilisateurs contre les techniques qui exploitent le moment où les utilisateurs saisissent leur seed phrase dans une application logicielle sur leur machine. La recommandation des fabricants de hardware wallets (Ledger et Trezor indiquent tous deux explicitement qu'ils ne demanderont jamais à l'utilisateur de saisir sa seed phrase dans leur logiciel) est la défense principale contre cette classe d'attaque. Un utilisateur qui ne saisit jamais sa seed phrase dans une application logicielle, même une application apparemment légitime sur sa propre machine, ne peut pas être victime de SeedHunter.
La distribution des victimes d'OkoBot dans plus de 25 pays avec des concentrations au Brésil, au Vietnam, au Canada, au Mexique et en Türkiye mérite une analyse. Ces cinq pays ont en commun plusieurs caractéristiques qui les rendent attractifs pour une opération cybercriminelle ciblant les holders de crypto. Le Brésil et le Mexique ont des communautés d'adopteurs de crypto relativement grandes par rapport à la population générale, en partie parce que les actifs crypto offrent une protection contre les fluctuations des monnaies locales. Le Vietnam est l'un des pays avec les taux d'adoption de crypto les plus élevés en Asie du Sud-Est selon plusieurs études de marché. Le Canada a une population technophile avec un fort taux d'adoption des services financiers numériques. La Türkiye a vu une augmentation significative de l'adoption crypto depuis les périodes d'inflation et de volatilité de la livre turque.
La présence de victimes dans ces pays plutôt que dans des centres financiers traditionnels comme le Royaume-Uni ou les États-Unis peut aussi refléter des différences dans la sophistication des défenses : les utilisateurs dans les marchés d'adoption crypto plus récents peuvent avoir moins d'exposition aux bonnes pratiques de sécurité crypto et être plus susceptibles de répondre à une demande de vérification de seed phrase présentée de façon convaincante. Cette hypothèse n'est pas confirmée par les données publiées par Kaspersky, mais elle est cohérente avec d'autres patterns observés dans les campagnes de phishing crypto qui surindexent sur les marchés en croissance rapide.
OkoBot représente un risque organisationnel au-delà du risque individuel pour les empleoyés utilisant des hardware wallets sur leurs postes de travail professionnels. Un poste de travail d'entreprise infecté par OkoBot ne perd pas seulement les actifs crypto personnels de l'employé : il expose l'ensemble de l'environnement professionnel de cet employé aux capacités de surveillance et d'exfiltration du framework. Les identifiants d'entreprise dans le navigateur, les tokens d'authentification aux systèmes internes, les emails et les communications professionnelles visibles dans les enregistrements vidéo et les captures d'écran, et les accès aux systèmes partagés que cet employé a en cours de session deviennent tous accessibles aux opérateurs d'OkoBot.
Les organisations qui permettent ou tolèrent l'utilisation de portefeuilles crypto sur des postes de travail professionnels devraient évaluer cette pratique à la lumière des risques qu'illustre OkoBot. Les applications Ledger Live et Trezor Suite, qui ont leurs propres profils de risque liés à leur construction Electron, sont des cibles connues d'injections comme SeedHunter. L'utilisation de ces applications sur des postes dédiés et séparés de l'infrastructure professionnelle, plutôt que sur les mêmes machines utilisées pour accéder aux systèmes d'entreprise, est une mesure de séparation qui réduit le risque de contamination croisée dans les deux directions. La surface d'attaque externe d'une organisation inclut les comportements de ses employés sur leurs machines professionnelles, et les actifs crypto personnels gérés sur des machines d'entreprise représentent un vecteur d'infection que les politiques de sécurité traditionnelles n'ont pas toujours anticipé.
Des attaques comme celles décrites dans cet article rappellent pourquoi la surveillance proactive de votre exposition externe est essentielle. Quand des identifiants sont volés, quand des clés privées sont exfiltrées, ou quand des données d'organisation circulent dans des canaux souterrains, les dégâts sont souvent déjà faits au moment où votre équipe les détecte.
Defendis surveille le dark web, les forums criminels et les marchés souterrains pour remonter les preuves d'exposition de votre organisation avant que les attaquants ne passent à l'action. Si des identifiants ou des données liés à votre organisation apparaissent dans un log de stealer ou une annonce de broker, Defendis les remonte avec le contexte complet : l'individu concerné, les données exposées, et comment la compromission s'est probablement produite.
Réservez une démo pour voir Defendis en action.
