OkoBot : ce malware dérobe vos seed phrases via Trezor et Ledger

Un nouveau framework malveillant nommé OkoBot, identifié par Kaspersky, vole les phrases mnémoniques de portefeuilles crypto et les identifiants associés via une vingtaine de modules spécialisés qui ciblent notamment Trezor et Ledger. Plus de 40 % des utilisateurs de hardware wallets admettent avoir déjà connecté leur appareil à un ordinateur partagé ou non vérifié, une pratique qui ouvre la porte à cette nouvelle menace, selon les données de Kaspersky. Le malware se propage par le biais de dépôts GitHub compromis, déguisés en outils de développement légitimes comme SQL Server Management Studio. Les victimes, réparties dans plusieurs pays, perdent le contrôle total de leurs actifs numériques une fois la seed phrase compromise.

Au programme :

• OkoBot emploie une vingtaine de modules malveillants pour aspirer seeds, cookies et frappes clavier via des dépôts GitHub falsifiés.
• La variante SeedHunter cible directement Trezor et Ledger en affichant une interface de récupération contrefaite qui enregistre la phrase mnémonique.
• Les pirates convertissent les fonds volés en actifs fongibles via des agents IA pour échapper aux listes noires des exchanges.

Comment OkoBot infecte-t-il les machines des investisseurs crypto ?

OkoBot emploie la technique d’ingénierie sociale ClickFix, qui trompe la victime en lui faisant exécuter manuellement une commande malveillante sur sa propre machine, rapporte Kaspersky. L’attaque s’appuie sur une distribution via des dépôts GitHub falsifiés qui imitent des outils professionnels de confiance, un vecteur déjà exploité par des malwares comme TrapDoor dans le secteur du développement blockchain. Une fois la commande exécutée, le malware déploie silencieusement ses modules. Cette étape critique repose sur des schémas d’hameçonnage perfectionnés où le lien de téléchargement frauduleux est souvent relayé par PamStealer sur des forums de niche, ciblant les profils d’utilisateurs ayant déjà manifesté un intérêt pour les cryptomonnaies. La vingtaine de modules du framework couvre ensuite un spectre d’exfiltration très large, des frappes clavier aux captures vidéo de fenêtres actives, en passant par le presse-papiers.

Pourquoi le module SeedHunter cible-t-il spécifiquement Trezor et Ledger ?

Le module phare du framework, SeedHunter, s’injecte directement dans l’interface des portefeuilles matériels Trezor et Ledger. Lors de la procédure de récupération d’un wallet, il affiche une interface contrefaite qui enregistre la phrase mnémonique saisie par l’utilisateur, selon les analyses de Kaspersky. Ce subterfuge piège les détenteurs même avec un hardware wallet, car la compromission se situe au niveau de l’écran et non du dispositif physique lui-même. Dans un contexte où plus de 400 applications bancaires et crypto sont déjà ciblées par des chevaux de Troie similaires comme Godfather, OkoBot marque une escalade en s’attaquant aux dispositifs de sécurité jusqu’ici jugés les plus fiables. Les données sont ensuite exfiltrées vers un serveur de commande et contrôle avec un chiffrement qui complique la détection réseau. Cette méthode rappelle l’affaire de pillage de données clients orchestrée en 2024 contre plusieurs sociétés crypto d’envergure.

Quels modules accompagnent SeedHunter et que font-ils ?

L’arsenal d’OkoBot inclut MC Keylogger, qui capture chaque frappe au clavier et l’activité du presse-papiers, un module de suivi des mots de passe de portefeuille et un enregistreur vidéo baptisé OkoSpyware. Le module de keylogging identifie les adresses de réception crypto copiées par la victime et les substitue en temps réel par celles de l’attaquant via le presse-papiers, une technique de détournement classique mais redoutablement efficace. D’autres modules aspirent les cookies de session et les tokens d’authentification de navigateurs comme Chrome et Firefox, permettant une prise de contrôle complète des comptes d’échange sans même avoir besoin de seed phrase. La valorisation fictive de tokens, souvent utilisée pour gonfler le butin, complique encore l’évaluation des pertes réelles subies par les investisseurs. L’analyse révèle qu’une fois les fonds siphonnés, le pirate les convertit instantanément en actifs fongibles liquides via des agents de paiement IA pour échapper aux listes noires.

Comment se protéger contre OkoBot et réagir en cas d’infection ?

La première parade consiste à ne jamais exécuter de commande copiée depuis un forum ou un dépôt GitHub suspect, même présenté comme un correctif, et à vérifier systématiquement la signature numérique des logiciels. L’utilisation d’un cold wallet dédié reste indispensable, à condition que la machine hôte soit saine. En cas d’infection détectée, la priorité est de transférer les fonds vers un wallet isolé depuis une machine propre, avant même toute tentative de désinfection. Les dispositifs de signalement des fraudes mis en place par certaines juridictions permettent ensuite de geler une partie des flux sur les exchanges partenaires. La lenteur du processus législatif sur la régulation des intermédiaires crypto retarde encore la mise en place d’un cadre de remédiation unifié pour ce type d’attaques. La déconnexion du wallet matériel entre deux sessions et la double vérification de l’adresse de destination sur un canal hors ligne, par exemple un téléphone séparé, neutralise en grande partie la menace immédiate.

À retenir

OkoBot illustre une montée en gamme inquiétante de la menace logicielle ciblant les détenteurs de cryptos, avec une attaque directe contre les wallets matériels via un module d’injection d’interface. La prudence sur GitHub et la vérification hors ligne des seed phrases s’imposent plus que jamais face à ce vecteur insidieux.

Questions fréquentes

OkoBot peut-il compromettre un wallet matériel comme Ledger ou Trezor sans accès physique ?

Oui. OkoBot ne touche pas au dispositif physique lui-même, mais injecte une fausse interface sur l’écran de l’ordinateur hôte lors de la saisie de la phrase de récupération. La seed est ainsi aspirée avant même d’atteindre le hardware wallet, rendant toute sécurité matérielle inopérante.

Quels signes indiquent une infection par le malware OkoBot ?

Les symptômes incluent des ralentissements inhabituels, des fenêtres inattendues lors de l’ouverture de Trezor Suite ou Ledger Live, et des modifications suspectes dans le presse-papiers. Kaspersky recommande de surveiller toute commande d’exécution anormale et de scanner régulièrement la machine avec un antivirus à jour.

Les utilisateurs français sont-ils spécifiquement ciblés par cette campagne ?

Aucune géolocalisation exclusive n’est identifiée par Kaspersky, mais les victimes sont réparties dans plusieurs pays, y compris en Europe. La diffusion via GitHub compromis expose tout détenteur de crypto téléchargeant un faux outil de développement, quel que soit son pays de résidence.