Kripto Para Kullanıcılarını Hedef Alan OkoBot Tehdidi

Siber güvenlik firması Kaspersky'nin Orta Doğu, Türkiye ve Afrika (META) bölgesine yönelik düzenlediği Siber Güvenlik Hafta Sonu etkinliğinde, Kaspersky Global Araştırma ve Analiz Ekibi (GReAT) önemli bir keşfi paylaştı. Ekip, özellikle kripto para kullanıcılarını hedef alan OkoBot adlı yeni bir kötü amaçlı yazılım kampanyasının detaylarını açıkladı. Bu sofistike yapı, seed phrase'leri ele geçirmek için TookPS'yi kullanırken, Chromium tabanlı tarayıcıları izlemek ve Rilide stealer gibi çeşitli kötü amaçlı yazılımları yaymak için OkoSpyware modülünden faydalanıyor.

Küresel Yayılım ve Hedefler

OkoBot kampanyası, bugüne kadar 25'ten fazla ülkede yüzlerce kullanıcıyı etkilemiş durumda. En çok etkilenen ülkeler arasında Brezilya, Vietnam, Kanada, Meksika ve Türkiye yer alıyor. Kaspersky uzmanları, bu tehdidin hala aktif olduğunu ve özellikle kripto para sahipleri için ciddi bir risk oluşturduğunu belirtiyor. Ocak 2026'dan bu yana kripto para cüzdanı pencerelerinin içeriğini yakalama yeteneğine sahip, daha önce bilinmeyen kötü amaçlı yazılım saldırıları tespit edildi. OkoBot olarak adlandırılan bu gelişmiş altyapı, yerel dosyaları toplama, uzaktan komut çalıştırma, izinsiz tarayıcı eklentileri indirme, kripto para cüzdanlarını çalma, kurtarma ifadelerini ve kimlik bilgilerini ele geçirme, video kaydı alma gibi 20'den fazla zararlı yük ve implanttan oluşuyor.

Kampanyada kullanılan yeni implantlardan biri, kötü amaçlı eklentileri yüklemek ve gizlemek amacıyla tarayıcı belleğini değiştiren bir yükleyici olarak öne çıkıyor. OkoBot ayrıca, tuş vuruşlarını ve hedef uygulamanın penceresindeki video akışını kaydedebilen yeni bir OkoSpyware modülü içeriyor. Mevcut veriler, kampanyanın belirli bir siber suç grubuyla ilişkilendirilmesine henüz olanak tanımasa da, kullanılan teknikler ve bilgi hırsızı yazılımlar Rusça konuşan tehdit aktörleri tarafından yaygın olarak tercih ediliyor; ayrıca teknik analizler kod içerisinde Rusça kalıntılara işaret ediyor. Bulaşma süreci genellikle toplum mühendisliği odaklı ClickFix saldırıları ve GitHub üzerinden meşru yazılım süsü verilerek dağıtılan kötü amaçlı yazılımlar aracılığıyla gerçekleşiyor. Araştırmacılar, Microsoft SQL Server Management Studio (SSMS) için hazırlanmış sahte bir yükleyici içeren bir örneğe de rastladı.

SeedHunter ve Kimlik Avı Taktikleri

Kötü amaçlı yazılım çerçevesi, etkin sistem süreçlerini izleyen ve Trezor Suite, Ledger Wallet ve Ledger Live gibi resmi kripto varlık yönetim uygulamalarına bir implant enjekte eden SeedHunter adlı bir bileşen içeriyor. SeedHunter, sisteme bağlı bir Trezor veya Ledger donanım cüzdanı tespit ettiğinde, kancalanmış işlevleri devreye sokarak kullanıcının seed phrase'ini ele geçirmeyi amaçlayan, önceden kodlanmış bir kimlik avı sayfası görüntülüyor. Her cüzdan türü için farklı bir tasarıma sahip olan bu sayfalar, kullanıcıların seed phrase'lerini girmelerini sağlamak üzere özel olarak hazırlanmış.

Kaspersky Küresel Araştırma ve Analiz Ekibi Rusya ve BDT Birimi Başkanı Dmitry Galov, OkoBot kampanyasının bir yılı aşkın süredir aktif olduğunu ve Temmuz 2026 itibarıyla etkisini sürdürdüğünü belirtti. Galov, “Gözlemlenen bulaşma yolları, yazılım geliştiricilerin ana hedefler arasında yer aldığını güçlü bir şekilde gösteriyor. Özellikle yazılımın aralıksız gelişimi ve altyapısının aktif biçimde güncellenmesi ciddi bir endişe kaynağı. Yayılma çabalarının devam etmesiyle birlikte, kampanyanın yakın gelecekte daha fazla kullanıcıya ulaşma ve yeni ülkelere yayılma potansiyeli bulunuyor” dedi. Kaspersky uzmanları, kullanıcıların bilinmeyen kodları çalıştırmamalarını, güçlü güvenlik çözümleri kullanmalarını, hassas verileri güvenli parola yöneticileriyle yönetmelerini, güvenlik araçlarını kapatmamalarını, yazılımlarını güncel tutmalarını ve çok faktörlü kimlik doğrulamayı etkinleştirmelerini öneriyor.