Khung mã độc OkoBot chèn trang lừa đảo cụm khôi phục vào ứng dụng Ledger và Trezor trên Windows
"Researchers described OkoBot, a Windows malware framework active since April 2025, that injects seed-phrase phishing pages into legitimate Ledger and Trezor desktop apps to steal hardware wallet recovery phrases. The campaign also uses trojanized software and ClickFix lures to deploy additional payloads for credential theft, remote access, and persistence; no CVE or vendor patch applies because the abuse occurs on the endpoint rather than in the wallet devices themselves."
Nguy cơ cao do lừa đảo seed phrase ngay trong ứng dụng ví hợp lệ và khả năng triển khai chuỗi thu thập dữ liệu + truy cập từ xa. Điểm then chốt: tiêm trang khôi phục trong app; không phụ thuộc CVE vì tấn công nằm ở endpoint; nhiều payload mở rộng sang đánh cắp thông tin và persistence.
Tác động chủ yếu đến người dùng và tổ chức qua mất tài sản/khả năng truy cập khi thông tin ví và dữ liệu liên quan bị đánh cắp, kèm rủi ro gián đoạn do thiết lập RDP/SSH tunnel. Điểm then chốt: tăng chi phí xử lý sự cố; rủi ro lan truyền qua tài khoản/thiết bị bị xâm nhập; cần nâng giám sát endpoint và kiểm soát nguồn phần mềm.
Các nhà nghiên cứu mô tả OkoBot là một khung mã độc chạy trên Windows từ tháng 4/2025, trong đó có module SeedHunter chuyên đánh cắp cụm seed phrase của người dùng ví phần cứng. Trên máy bị nhiễm, kẻ tấn công tạo tình huống để trang lừa đảo xuất hiện “bên trong” phần mềm ví hợp lệ (Ledger/Trezor) thay vì trên thiết bị ví. Một số trường hợp chương trình chờ khi thiết bị được cắm vào trước khi hiển thị trang khôi phục giả.
SeedHunter tiêm vào ứng dụng desktop và móc các thành phần nội bộ (Electron), sau đó gửi dữ liệu nhập vào cho máy chủ điều khiển (C2). Chiến dịch cũng sử dụng phần mềm bị trojan hóa và lure ClickFix để triển khai thêm payload, bao gồm thu thập thông tin, truy cập từ xa và duy trì hiện diện. Theo telemetry của nhóm GReAT, đã ghi nhận hàng trăm nạn nhân tại hơn 25 quốc gia.
Vì hành vi xảy ra ở endpoint (máy tính người dùng) chứ không phải lỗi trong firmware/thiết bị ví, không có CVE và không có bản vá từ nhà cung cấp ví áp dụng trực tiếp. Khuyến nghị: rà soát các dấu hiệu như scheduled task “Apple Sync”, thay đổi termsrv.dll, tài khoản trong Remote Desktop Users, và hoạt động tunneling SSH/RDP; đồng thời hạn chế cài đặt phần mềm từ nguồn không tin cậy và tăng giám sát hành vi tiêm vào tiến trình ứng dụng ví.