Cibersegurança: Kaspersky descobre malware capaz de roubar seus ativos digitais

O setor de criptomoedas continua a atrair cibercriminosos, que aperfeiçoam seus métodos para enganar suas vítimas. Desta vez, a Kaspersky destaca um novo framework de softwares maliciosos projetado para comprometer carteiras digitais e roubar dados sensíveis. A análise mostra que os atacantes combinam engenharia social, projetos falsos no GitHub e técnicas de acesso remoto para infiltrar dispositivos. Paralelamente, outra campanha mira desenvolvedores Web3 por meio de falsas ofertas de emprego divulgadas no LinkedIn, revelando uma evolução das ameaças.

Kaspersky revela o funcionamento do malware OkoBot

De acordo com a empresa de cibersegurança Kaspersky, o novo framework malicioso, chamado OkoBot, baseia-se em uma cadeia de infecção cuidadosamente preparada. Os atacantes usam, entre outras coisas, técnicas de engenharia social como ClickFix para convencer suas vítimas a executar comandos maliciosos. Eles também difundem falsos aplicativos hospedados no GitHub para introduzir uma porta dos fundos nos dispositivos comprometidos.

Uma vez instalado, o software malicioso coleta vários tipos de dados sensíveis. Ele pode recuperar arquivos de carteiras de criptomoedas, credenciais de usuário e informações de navegação. Também injeta extensões maliciosas no navegador e captura janelas dos aplicativos de carteira para facilitar o roubo de ativos digitais.

A Kaspersky indica em seu relatório ter observado vários ataques usando essa família de softwares maliciosos desde janeiro de 2026. A empresa também especifica que essa nova ameaça decorre da evolução do TookPS, uma campanha detectada em 2025 que já disseminava um cavalo de Troia por meio de sites falsos de download de software.

Uma evolução técnica que fortalece as capacidades dos atacantes

O novo framework apresenta uma diferença importante em relação às campanhas anteriores. Segundo a Kaspersky, as vinte cargas maliciosas são orquestradas por meio de um túnel SSH. Esse método permite aos atacantes transportar remotamente os dados coletados dos computadores infectados para suas próprias infraestruturas.

Essa arquitetura também facilita a organização de ataques de imitação. Os cibercriminosos assim podem adaptar suas operações e manter uma comunicação discreta com as máquinas comprometidas. Essa evolução técnica ilustra a crescente sofisticação das ferramentas empregadas contra investidores em criptomoedas.

Os métodos de infecção, no entanto, baseiam-se em um princípio idêntico. As vítimas são inicialmente levadas a confiar em um aplicativo ou procedimento que parece legítimo. Elas mesmas executam as ações que abrem a porta para os softwares maliciosos, o que torna a detecção do ataque mais difícil.

Os desenvolvedores Web3 também são alvos de falsas ofertas no LinkedIn

Paralelamente, segundo as observações da empresa de cibersegurança blockchain e Web SlowMist, uma campanha distinta mira os desenvolvedores Web3. Os atacantes entram em contato com suas vítimas no LinkedIn, passando-se por recrutadores especializados em blockchain. Depois, enviam falsos repositórios no GitHub, apresentados como projetos para testar antes de uma entrevista de emprego.

O cenário reproduz as etapas habituais de uma entrevista técnica. Os desenvolvedores baixam o código, instalam as dependências e executam o projeto, sem suspeitar da presença do software malicioso. Uma vez ativo, ele implanta um cavalo de Troia de acesso remoto capaz de roubar chaves de projeto, credenciais de nuvem e dados de extensões de carteira.

A SlowMist destaca que esse método não é um incidente isolado. Os cibercriminosos agora exploram contextos de recrutamento, revisão de código ou colaboração para induzir suas vítimas a executar repositórios maliciosos. Kaspersky e SlowMist assim descrevem abordagens diferentes, mas com o mesmo objetivo: obter acesso a dados sensíveis dos atores do ecossistema cripto.

Essas publicações mostram que as campanhas maliciosas evoluem rapidamente e dependem cada vez mais de interações críveis com suas vítimas. Confirmam também que investidores em cripto assim como desenvolvedores Web3 continuam sendo alvos preferenciais, enquanto as técnicas de engenharia social mantêm papel central nos ataques observados.