Cybersécurité : Un nouveau malware vise les portefeuilles crypto, Kaspersky tire la sonnette d'alarme 

Le secteur des cryptomonnaies continue d’attirer les cybercriminels, qui perfectionnent leurs méthodes pour tromper leurs victimes. Cette fois, Kaspersky met en lumière un nouveau framework de logiciels malveillants conçu pour compromettre les portefeuilles numériques et voler des données sensibles. L’analyse montre que les attaquants combinent ingénierie sociale, faux projets GitHub et techniques d’accès à distance pour infiltrer les appareils. En parallèle, une autre campagne vise les développeurs Web3 grâce à de fausses offres d’emploi diffusées sur LinkedIn, révélant une évolution des menaces.

Kaspersky dévoile le fonctionnement du malware OkoBot

Selon la société de cybersécurité Kaspersky, le nouveau framework malveillant, baptisé OkoBot, repose sur une chaîne d’infection soigneusement préparée. Les attaquants utilisent notamment des techniques d’ingénierie sociale comme ClickFix pour convaincre leurs cibles d’exécuter des commandes malveillantes. Ils diffusent également de fausses applications hébergées sur GitHub afin d’introduire une porte dérobée sur les appareils compromis.

Une fois installé, le logiciel malveillant collecte plusieurs types de données sensibles. Il peut récupérer les fichiers de portefeuilles de cryptomonnaies, les identifiants utilisateur ainsi que les informations de navigation. Il injecte aussi des extensions malveillantes dans le navigateur et capture les fenêtres des applications de portefeuille afin de faciliter le vol d’actifs numériques.

Kaspersky indique dans son rapport avoir observé plusieurs attaques utilisant cette famille de logiciels malveillants depuis janvier 2026. L’entreprise précise également que cette nouvelle menace provient de l’évolution de TookPS, une campagne détectée en 2025 qui diffusait déjà un cheval de Troie par l’intermédiaire de faux sites de téléchargement de logiciels.

Une évolution technique qui renforce les capacités des attaquants

Le nouveau framework présente une différence importante avec les campagnes précédentes. D’après Kaspersky, les vingt charges utiles malveillantes sont orchestrées grâce à un tunnel SSH. Cette méthode permet aux attaquants de transporter à distance les données collectées depuis les ordinateurs infectés vers leurs propres infrastructures.

Cette architecture facilite aussi l’organisation d’attaques par imitation. Les cybercriminels peuvent ainsi adapter leurs opérations et maintenir une communication discrète avec les machines compromises. Cette évolution technique illustre la sophistication croissante des outils employés contre les investisseurs en cryptomonnaies.

Les méthodes d’infection reposent toutefois sur un principe identique. Les victimes sont d’abord amenées à faire confiance à une application ou à une procédure qui semble légitime. Elles exécutent ensuite elles-mêmes les actions qui ouvrent la porte aux logiciels malveillants, ce qui complique la détection de l’attaque.

Les développeurs Web3 également visés par de fausses offres LinkedIn

En parallèle, selon les observations de la société de cybersécurité blockchain et Web SlowMist, une campagne distincte cible les développeurs Web3. Les attaquants prennent contact avec leurs victimes sur LinkedIn en se faisant passer pour des recruteurs spécialisés dans la blockchain. Ils envoient ensuite de faux dépôts GitHub présentés comme des projets à tester avant un entretien d’embauche.

Le scénario reproduit les étapes habituelles d’un entretien technique. Les développeurs téléchargent le code, installent les dépendances puis lancent le projet, sans soupçonner la présence du logiciel malveillant. Une fois actif, celui-ci déploie un cheval de Troie d’accès à distance capable de voler des clés de projet, des identifiants cloud ou encore les données d’extensions de portefeuille.

SlowMist souligne que cette méthode ne constitue pas un incident isolé. Les cybercriminels exploitent désormais des contextes de recrutement, de revue de code ou de collaboration pour pousser leurs cibles à exécuter des dépôts malveillants. Kaspersky et SlowMist décrivent ainsi des approches différentes, mais reposant sur le même objectif : obtenir un accès aux données sensibles des acteurs de l’écosystème crypto.

Ces publications montrent que les campagnes malveillantes évoluent rapidement et s’appuient de plus en plus sur des interactions crédibles avec leurs victimes. Elles confirment également que les investisseurs en crypto comme les développeurs Web3 restent des cibles privilégiées, tandis que les techniques d’ingénierie sociale continuent d’occuper une place centrale dans les attaques observées.