卡巴斯基揭新型加密劫持木马，攻击者借招聘伪装渗透开发者

核心提要：卡巴斯基披露新型恶意软件框架OkoBot，通过伪装GitHub应用与社交工程手段窃取钱包数据。与此同时，SlowMist警示针对Web3开发者的虚假招聘攻击正蔓延，攻击者利用招聘流程诱导执行恶意代码。

卡巴斯基曝光“OkoBot”恶意框架：专攻加密资产窃取

网络安全机构卡巴斯基在周三发布报告，揭示一种名为“OkoBot”的新型恶意软件架构，其核心目标为非法获取用户持有的数字资产。

攻击链升级：从伪装下载到凭证窃取全链条覆盖

该恶意程序采用社会工程学手段启动传播，包括模拟系统修复工具“ClickFix”，诱导用户主动运行恶意指令。此外，它还以仿冒GitHub应用的形式出现，嵌入后门程序，实现对设备的隐蔽控制。

部署成功后，OkoBot可自动提取加密钱包文件、浏览器缓存及账户登录凭据。其具备注入恶意扩展的能力，并能实时截取钱包界面操作画面，为攻击者提供精准的数据捕获路径。

卡巴斯基指出，自2026年初以来已识别出多起相关入侵事件。该框架被证实为2025年首次曝光的“TookPS”活动的演进形态，延续了通过虚假软件平台分发下载器的策略，进一步拓展了攻击面。

尤为值得注意的是，OkoBot利用SSH隧道同步管理多达20个独立恶意载荷，使受控设备与攻击者服务器间建立加密通信通道，从而高效完成敏感信息外传。

微型词典：SSH隧道——一种加密网络连接机制，常被黑客用于在受感染主机与远程控制端之间秘密传输数据。

该公司强调，所有恶意组件均经由该隧道传输，确保数据泄露过程难以被常规防火墙拦截。

假招聘陷阱：攻击者借开发者信任渗透技术生态

区块链安全公司SlowMist近期警告，一类以虚假职位邀约为诱饵的高级持续性威胁正在扩散，主要面向区块链领域技术人员。

攻击者在LinkedIn上冒充招聘负责人，向开发者发送工作邀请，并附带指向伪造GitHub仓库的链接，声称其中包含用于技术评估的最小可行产品。这一流程高度仿照真实面试环节，极大降低目标警惕性。

所涉文件一旦被执行，将植入远程访问木马，赋予攻击者完全的设备控制权。后续可窃取项目密钥、云平台认证信息以及加密钱包插件数据。

SlowMist表示，此类攻击正逐步融合招聘、代码审查和协作开发等专业场景，诱导受害者主动激活恶意代码，显著提升隐蔽性与成功率。

该公司补充称，攻击者当前已掌握“通过职业引荐、代码提交与项目合作等正当流程，诱导开发者运行恶意资源”的新战术，使防御难度大幅上升。

就在最新报告发布前一日，SlowMist还披露了一起针对macOS用户的新型恶意活动，该程序旨在盗取账户凭证并劫持Telegram聊天会话。最终引导用户访问伪造网站，诱导输入钱包恢复短语，直接危及资金安全。

微型词典：SlowMist——专注于区块链项目审计、漏洞检测与威胁情报分析的专业安全机构。