OkoBot-Malware: Hunderte Opfer in 25 Ländern infiziert
Veröffentlicht am: 18.07.2026 um 23:42 Uhr | Redaktion boerse-global.de
Sicherheitsforscher von Kaspersky haben eine hochentwickelte Malware namens OkoBot entdeckt, die gezielt Kryptowährungs-Wallets angreift. Das Schadprogramm stiehlt sogenannte Seed-Phrases – die geheimen Wiederherstellungscodes für digitale Geldbörsen. Seit über einem Jahr ist die Operation aktiv und hat bereits Hunderte Opfer in mehr als 25 Ländern infiziert.
Modulare Bauweise für gezielte Angriffe
OkoBot arbeitet mit rund 20 verschiedenen Modulen, die präzise auf unterschiedliche Angriffsziele zugeschnitten sind. Das Kernstück heißt SeedHunter und richtet sich gegen Nutzer von Hardware-Wallets wie Ledger oder Trezor. Die Methode ist perfide: Die Malware schleust gefälschte Phishing-Seiten in legitime Software wie Ledger Live oder Trezor Suite ein. Opfer landen auf einer täuschend echten Wiederherstellungsoberfläche und geben dort ahnungslos ihre Seed-Phrase preis.
Weitere Komponenten ergänzen das Arsenal. OkoSpyware überwacht Aktivitäten in Chromium-basierten Browsern, während der MC Keylogger sämtliche Tastatureingaben aufzeichnet. Ein spezielles Modul namens TookPS ist für den Abtransport der gestohlenen Seed-Phrases zuständig. Die verschiedenen Schadkomponenten kommunizieren über einen einzigen SSH-Tunnel, um die gestohlenen Daten abzuleiten.
Versteckt auf GitHub: So gelangt die Malware auf die Geräte
Die Täter hinter OkoBot setzen auf eine besonders hinterhältige Verteilungsstrategie. Sie tarnen die Schadsoftware als legitime professionelle Werkzeuge auf der Entwicklerplattform GitHub. Konkret wurden bereits gefälschte Versionen von SQL Server Management Studio und dem Audio-Editor Audacity identifiziert.
Angriffe wie OkoBot zeigen, wie schnell sensible Daten durch perfide Maschen in falsche Hände geraten können. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Maßnahmen, um Ihr Gerät wirksam gegen Hacker und Datenmissbrauch abzusichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Um die Infektionsrate zu maximieren, nutzen die Angreifer sogenannte ClickFix-Methoden. Dabei werden Nutzer durch sozial manipulative Tricks dazu gebracht, schädliche Dateien auszuführen – unter dem Vorwand, einen Softwarefehler zu beheben oder ein notwendiges Update durchzuführen. Besonders betroffen sind derzeit Nutzer in Brasilien, Vietnam, Kanada, Mexiko und der Türkei.
Mobilvariante mit 242.000 Downloads
Die OkoBot-Operation hat längst den Sprung auf mobile Geräte geschafft. Auf Google Play entdeckten die Forscher bösartige Varianten, die zusammen mehr als 242.000 Mal heruntergeladen wurden. Diese mobilen Versionen – ebenso wie Varianten, die über Telegram verbreitet werden – durchsuchen die Fotogalerie der Opfer. Mit Hilfe von Texterkennungstechnologie (OCR) spüren sie dort gespeicherte Seed-Phrases auf und leiten sie ab.
Wenn Trojaner und Spyware bereits über offizielle App-Stores auf das Smartphone gelangen, ist höchste Vorsicht geboten. Erfahren Sie in diesem kostenlosen Report, wie Sie Ihr Android-Gerät durch die richtigen Updates und Einstellungen dauerhaft vor Malware schützen. Kostenlosen Sicherheits-Report jetzt herunterladen
Russischsprachige Täter im Visier
Die technische Analyse deutet darauf hin, dass die Betreiber von OkoBot möglicherweise russischsprachig sind. Ein wichtiges Indiz: Die Malware blockiert systematisch IP-Adressen aus Russland und den GUS-Staaten. Diese Taktik ist bei Cyberkriminellen weit verbreitet, um Strafverfolgungsbehörden im eigenen Land zu entgehen. Die Kampagne ist seit mindestens Anfang 2025 durchgehend aktiv, einige Komponenten wurden sogar noch in diesem Monat beobachtet.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
