OkoBot 恶意软件框架向 Ledger 和 Trezor 应用注入助记词钓鱼页面

一个名为 OkoBot 的恶意软件框架自 2025 年 4 月以来一直在 Windows 机器上运行，其模块之一专门用于窃取硬件钱包用户的恢复助记词。
在受感染的 PC 上，请求来自钱包自有桌面软件内部。有时它会等待你插入设备后再弹出。页面是恶意的，但周围的应用程序是你安装的正版软件，而助记词就是钱包的钥匙。
Kaspersky GReAT 团队于周三发布了该分析报告，其遥测数据显示在超过 25 个国家有数百名受害者。受攻击用户最多的地区是巴西、越南、加拿大、墨西哥和土耳其。
报告未说明有多少人在该页面上输入了助记词。OkoBot 携带超过 20 个 payload 和植入程序，截至 7 月 15 日报告发布时仍处于活跃状态。
SeedHunter 等待设备插入
SeedHunter 是窃取助记词的 OkoBot 模块。一旦框架落地，它会监视 Trezor Suite、Ledger Wallet 和 Ledger Live，注入到它找到的任何一个中，并 Hook 该应用的 Electron 内部机制。然后它向其 C2（moonsand[.]store）发起请求。
如果服务器设置了 Wait 标志，SeedHunter 会通过供应商 ID 和产品 ID 扫描 USB，并保持静默直到真正的 Ledger 或 Trezor 被插入。只有在插入后，它才会绘制一个硬编码的恢复页面，每个品牌对应一个布局。如果标志关闭，页面会立即出现。输入的助记词会发送到页面自身的控制台，带有 @:app:print 标记，而被 Hook 的 mal_LogConsoleMessage 会捕获它。数据以 JSON 格式离开，并附带一个 RC4 加密副本存放在临时文件中。
硬件钱包本身并没有被攻破。它做了它被设计要做的一件事——拒绝交出密钥——但它无法阻止其配套软件转而向你索要助记词。
这两种手段本身都不新鲜。Moonlock Lab 追踪过 macOS 上的窃密软件使用替换版本，THN 报道过那些克隆的 Ledger Live 应用：AMOS 杀死了 Ledger Live 并在 /Applications 中投放了一个木马化的克隆版本，要求输入 24 个单词。
GlassWorm 在 3 月份于 Windows 上实现了 USB 触发，使用 WMI 检测设备插入，然后杀死真实应用并弹出自己的窗口。SeedHunter 改变的是页面绘制的位置：它让应用保持运行，并在其内部绘制页面。
实际上是 Audacity 的 SSMS
主要有两种入侵途径：ClickFix 诱饵和 GitHub 上的木马化软件。Kaspersky 拆解的那个仓库宣传的是 SQL Server Management Studio，但实际分发的是音频编辑器 Audacity，并在其一个库中嵌入了恶意植入程序。该仓库在 SSMS 搜索结果中排名靠前，存活时间从 2025 年 3 月下旬到 6 月。
两种途径都会执行 TookPS，这是一个 PowerShell 下载器，Kaspersky 自 2025 年 3 月以来一直在追踪它，当时它利用虚假的 DeepSeek 页面，然后是虚假的商业软件下载站点。它安装 SSH，连接攻击者控制的服务器，转发本地 SSH 守护进程端口，然后等待。之后，一个自动化 SSH 机器人通过隧道反向连接回来。
该机器人会对目标机器进行盘点，直至已安装的防病毒软件，然后通过隧道拖走钱包文件、Cookie、浏览器配置文件和凭据。它通过注册表写入来静默 Defender 通知，并为自己构建一个远程桌面环境：

• 为入站 RDP 打开防火墙
• 向 Remote Desktop Users 组添加账户
• 用修补过的构建版本替换 termsrv.dll，以允许并发 RDP 会话
• 注册一个名为 Apple Sync 的计划任务，每小时重建一个反向 SSH 隧道用于本地 RDP 端口

之后模块通过 SFTP 到达。一个名为 HDUtil 的 VMProtect 加壳加载器运行这些模块，并可通过 Project Zero 在 2019 年记录的 Windows RPC UAC 绕过技术静默提权。
最后的交付物是 Volume2，一个开源工具，携带恶意的 protobuf.dll，解密并启动真正的 payload：一个每 20 秒轮询其 C2 的插件调度器。Kaspersky 恢复了五个插件。其中一个是进程注入器，正是它将 SeedHunter 部署到位。
其余工具包用于监视。OkoSpyware 监视 100 多个可执行文件，包括 Exodus 和 1Password。它将匹配的窗口录制成 MP4（使用内置的 FFmpeg），并记录按键日志。
浏览器标题通过正则表达式匹配，因此 MetaMask 或 Tonkeeper 标签页会被录制。MC Keylogger 覆盖输入、剪贴板、USB 设备，并每五分钟截取一次屏幕截图。一个加载器安装拥有所有权限的隐藏 Chromium 扩展；它安装的是 Rilide——一个自 2023 年 4 月以来由俄语威胁行为者使用的 Chromium 窃密器。
这是谁的框架？
Kaspersky 不愿指明具体行为者："我们无法将此恶意活动归因于任何已知的网络犯罪行为者。"托管第一阶段 PowerShell 的服务器对俄罗斯和独联体 IP 返回空响应。Rilide 在仅限邀请的俄语论坛上传播。
SeedHunter 钓鱼页面包含俄语注释。这些是软信号，报告也如此对待它们。
没有钱包 CVE 或供应商补丁能够堵住这条路径。它落在端点上，而这些 artifacts 足够具体，可以用于追踪：

• 名为 Apple Sync 的计划任务
• %PROGRAMDATA%\hwid.dat、%PROGRAMDATA%\HDVideo\HDUtil.exe、%USERPROFILE%\.ssh\go.bat
• 与原版构建不同的 termsrv.dll
• Remote Desktop Users 组中无人添加的账户
• 来自用户端点的出站 SSH
• Local Extension Settings 中从未出现在浏览器扩展列表里的扩展

Kaspersky 的文章包含哈希值和 C2 域名。供应商将界限划在设备本身。Ledger 表示助记词除了 Ledger 设备本身外不会去任何地方。
Trezor Suite 表示它永远不会要求你输入备份，不过 Model One 的标准恢复确实需要在 Suite 中输入单词，而且只有在设备要求时才进行。因为插入设备而出现的页面，且设备屏幕上没有任何提示——这就是破绽。
然后是 2026 年 3 月的重建。TeviRAT 消失了。HDUtil 到 extl 到 Rilide 的链条消失了，合并为一个执行相同工作的单一调度器插件。Volume2 现在直接从 TookPS 获取。没有人会在即将放弃一个代码库时去修剪它。