OkoBot ile Kripto Cüzdanlara Yeni Tehdit

Kaspersky'nin Orta Doğu, Türkiye ve Afrika (META) bölgesindeki yıllık Siber Güvenlik Hafta Sonu etkinliğinde, şirket bünyesindeki Global Araştırma ve Analiz Ekibi (GReAT), kripto para kullanıcılarına yönelik yeni bir siber saldırı kampanyasının detaylarını paylaştı. “OkoBot” olarak adlandırılan bu gelişmiş tehdit, seed phrase’leri ele geçirmek için TookPS’yi kullanırken, Chromium tabanlı tarayıcıları izlemek ve Rilide stealer gibi zararlı yazılımları yaymak için özel bir OkoSpyware modülünden yararlanıyor.

OkoBot Nasıl Çalışıyor?

Bu sofistike kötü amaçlı yazılım altyapısı, 20'den fazla zararlı yük ve implanttan oluşuyor. Ocak 2026'da tespit edilen saldırılar, kripto para cüzdanı pencerelerinin içeriğini yakalama yeteneğine sahip. OkoBot; yerel dosyaları toplama, uzaktan komut çalıştırma, tarayıcı eklentileri indirme, kripto cüzdanlarını çalma, kurtarma ifadelerini ve kimlik bilgilerini ele geçirme, hatta video kaydı alma gibi geniş bir yelpazede kötü niyetli eylemler gerçekleştirebiliyor. Kampanyada kullanılan yeni implantlardan biri, tarayıcı belleğini değiştirerek kötü amaçlı eklentileri yükleyip gizleyen bir yükleyici olarak öne çıkıyor. Ayrıca, OkoSpyware modülü, tuş vuruşlarını ve hedef uygulamanın penceresindeki video akışını kaydedebiliyor. Şu ana kadar Brezilya, Vietnam, Kanada, Meksika ve Türkiye başta olmak üzere 25'ten fazla ülkede yüzlerce kullanıcı bu tehditten etkilendi. Kaspersky uzmanları, tehdidin hala aktif olduğunu ve özellikle kripto para kullanıcıları için ciddi risk oluşturduğunu belirtiyor.

Bulaşma süreci genellikle iki ana yolla gerçekleşiyor: Birincisi, kullanıcıları zararlı kod çalıştırmaya ikna eden sosyal mühendislik odaklı ClickFix saldırıları. İkincisi ise, meşru yazılım süsü verilerek GitHub üzerinden dağıtılan kötü amaçlı yazılımlar. Araştırmacılar, Microsoft SQL Server Management Studio (SSMS) için hazırlanmış sahte bir yükleyici içeren bir örneğe rastladı. Kötü amaçlı yazılım çerçevesi, etkin sistem süreçlerini izleyen ve Trezor Suite, Ledger Wallet ve Ledger Live gibi resmi kripto varlık yönetim uygulamalarına bir implant enjekte eden SeedHunter adlı bir bileşen de barındırıyor. SeedHunter, sisteme bağlı bir donanım cüzdanı algıladığında, kullanıcının seed phrase’ini ele geçirmek amacıyla özel olarak tasarlanmış kimlik avı sayfaları görüntülüyor.

Siber Suçlular ve Korunma Yolları

Mevcut veriler, kampanyayı belirli bir siber suç grubuyla kesin olarak ilişkilendirmeye henüz izin vermese de, kullanılan teknikler ve bilgi hırsızı yazılımlar genellikle Rusça konuşan tehdit aktörleri tarafından tercih ediliyor; kod içinde Rusça kalıntıları da tespit edildi. Kaspersky Küresel Araştırma ve Analiz Ekibi Rusya ve BDT Birimi Başkanı Dmitry Galov, OkoBot kampanyasının bir yılı aşkın süredir aktif olduğunu ve Temmuz 2026 itibarıyla etkisini sürdürdüğünü belirtti. Galov, yazılım geliştiricilerin ana hedefler arasında yer aldığını ve yazılımın sürekli gelişimi ile altyapısının aktif güncellenmesinin endişe verici olduğunu vurguladı. Uzmanlar, kullanıcıların korunmak için bilinmeyen kodları çalıştırmamalarını, güçlü bir güvenlik çözümü kullanmalarını, hassas verileri güvenli parola yöneticileriyle yönetmelerini, güvenlik araçlarını asla kapatmamalarını ve yazılım güncellemeleri ile çok faktörlü kimlik doğrulamayı etkin tutmalarını öneriyor.