OkoBot恶意软件突袭加密钱包，攻击者借招聘陷阱渗透开发者

核心提要：卡巴斯基披露新型恶意软件框架OkoBot，通过伪装GitHub应用与社交工程手段窃取加密钱包数据；同时，SlowMist警示针对Web3开发者的虚假招聘攻击激增，攻击者利用信任链诱导执行恶意代码，威胁用户资产安全。

卡巴斯基曝光“OkoBot”恶意框架：专攻加密钱包的隐蔽窃取工具

网络安全机构卡巴斯基于周三发布报告，揭示一种名为“OkoBot”的新型恶意软件架构，其核心目标为非法获取加密货币持有者的敏感信息与数字资产。

攻击路径演进：从伪装应用到凭证窃取

该恶意程序以社会工程学手法启动感染流程，例如使用“ClickFix”诱导策略，诱骗用户运行隐藏指令。此外，它还通过伪装成合法GitHub项目的木马程序进行传播，植入后门以实现远程控制。

部署成功后，OkoBot具备提取本地加密钱包文件、浏览器缓存及账户登录凭据的能力。它可注入恶意扩展，并实时截取钱包界面窗口内容，使攻击者能精准捕获交易密钥与私钥信息。

卡巴斯基指出，自2026年1月起已识别多起关联事件，确认OkoBot是2025年首次出现的“TookPS”攻击活动的升级版本。前者曾借助伪造软件下载站分发恶意载荷，而后者则在此基础上拓展了更复杂的传播机制，为后续模仿攻击提供模板。

该框架的一大技术特征在于采用SSH隧道同步多达20个独立恶意模块。这一设计使攻击者能建立加密信道，将受控设备中的关键数据直接外传至其远程服务器，极大提升了数据盗取效率与隐蔽性。

微型词典：SSH隧道——一种用于在设备间建立加密通信通道的协议，常被黑客用于绕过防火墙，在受感染主机与指挥中心之间秘密传输情报。

卡巴斯基强调，所有恶意负载均通过该隧道传输，确保攻击全过程不被常规网络监控系统察觉，从而实现对用户加密资产的定向窃取。

假招聘陷阱蔓延：开发者成新型攻击目标

与此同时，区块链安全公司SlowMist警告，一种以虚假招聘名义展开的高级持续性威胁正在扩散，主要针对区块链领域技术人员。

攻击者在LinkedIn平台冒充企业招聘负责人，向区块链开发者发送工作邀约，并附上指向伪造GitHub仓库的链接，声称其中包含用于技术评估的最小可行产品。此类操作高度仿照真实面试流程，极易引发开发者无意识下载并执行恶意程序。

这些恶意文件可部署远程访问木马，赋予攻击者完全控制权，进而窃取项目密钥、云平台认证信息以及加密钱包相关的扩展配置数据。

SlowMist观察到，此类攻击正日益频繁，攻击者巧妙利用招聘、代码审查和协作开发等专业场景，诱导开发者主动激活恶意代码，大幅降低防御门槛。

该公司特别指出，当前攻击模式已演化为“借助职业机会、代码评审与项目协同等正当情境，诱导目标自行运行恶意源码”，使得防御难度显著上升。

就在周六报告发布前一日，SlowMist还通报了一起针对macOS用户的新型恶意活动，其目的为窃取账户凭证并劫持Telegram会话。最终，受害者会被引导至仿冒网站，被迫输入钱包恢复短语，导致资金被盗。

微型词典：SlowMist——专注于区块链生态审计、漏洞挖掘与威胁态势感知的专业安全机构，致力于提升Web3系统的整体安全性。