Kripto Yatırımcılarını Hedef Alan Yeni Kötü Amaçlı Yazılım: OkoBot

Siber güvenlik uzmanları, kripto para piyasalarının yükselişiyle birlikte dijital varlıkları hedef alan siber saldırıların da arttığını belirtiyor. Son olarak, siber güvenlik şirketi Kaspersky, kripto yatırımcılarını ve Web3 geliştiricilerini hedef alan yeni ve karmaşık bir kötü amaçlı yazılım çerçevesi olan 'OkoBot'u ortaya çıkardı. Bu tehdit, sosyal mühendislik taktikleri ve Truva atı içeren GitHub uygulamaları kullanarak kullanıcıların varlıklarını ve hassas verilerini çalmayı amaçlıyor.

Kaspersky'nin raporuna göre, OkoBot, 'ClickFix' gibi sosyal mühendislik yöntemleriyle kullanıcıları kötü amaçlı komutları çalıştırmaya ikna ederek veya Truva atı bulaşmış GitHub uygulamaları aracılığıyla cihazlara arka kapı yerleştirerek enfeksiyon zincirini başlatıyor. Kötü amaçlı yazılım, kripto cüzdan dosyalarını, tarayıcı verilerini ve kullanıcı kimlik bilgilerini ele geçirebiliyor, kötü amaçlı uzantılar enjekte edebiliyor ve varlıkları çalmak için cüzdan uygulama pencerelerini ele geçirebiliyor. OkoBot'un modüler yapısı, TookPS (tohum ifadelerini sızdırmak için), OkoSpyware (Chromium tabanlı tarayıcıları izlemek ve Rilide bilgi hırsızını dağıtmak için) ve SeedHunter (Trezor Suite, Ledger Wallet ve Ledger Live gibi donanım cüzdanı uygulamalarına kimlik avı sayfaları enjekte etmek için) gibi 20'den fazla kötü amaçlı yük ve implant içeriyor.

Bu kötü amaçlı yazılım çerçevesi, ilk olarak 2025'te sahte yazılım web siteleri aracılığıyla Truva atı indiricileri dağıtan 'TookPS' adlı bir önceki kampanyadan evrildi. Ayrıca, 2025 Şubat'ında 'GitVenom' olarak adlandırılan ve sahte GitHub depoları kullanarak Bitcoin (BTCUSD) ve hassas kimlik bilgilerini çalan bir başka kampanyanın da devamı niteliğinde olduğu belirtiliyor. GitVenom kampanyası sırasında, saldırganların Kasım 2024'te yaklaşık 5 BTC (o zamanki değeri 485.000 dolar civarında) çaldığı tespit edilmişti. OkoBot operasyonu ise Ocak 2026'dan bu yana aktif olarak yüzlerce kurbanı etkiledi ve Temmuz 2026 itibarıyla hala devam ediyor.

OkoBot kampanyası, Brezilya, Vietnam, Kanada, Meksika ve Türkiye başta olmak üzere 25'ten fazla ülkede yüzlerce kurbanı etkiledi. Saldırganlar, Web3 geliştiricilerini sahte LinkedIn iş ilanları aracılığıyla hedef alarak, mülakat öncesi denemeleri gereken minimum uygulanabilir ürün (MVP) içerdiğini iddia eden sahte GitHub depoları gönderiyor. Geliştiricilerin kod çekme, bağımlılıkları yükleme ve projeleri başlatma gibi meşru bir teknik mülakat iş akışına benzer bu süreç, saldırının fark edilmesini zorlaştırıyor. Bu saldırılar sonucunda proje anahtarları, bulut kimlik bilgileri veya cüzdan uzantı verileri çalınabiliyor.

Kripto para piyasasının doğası gereği, on-chain transferlerin hızlı ve geri döndürülemez olması, siber suçlular için yüksek değerli ve kısa süreli bir fırsat penceresi yaratıyor. Kaspersky araştırmacıları, OkoBot'u bilinen belirli bir siber suç grubuna atfedemese de, kötü amaçlı yazılım sunucularının Rusya ve BDT ülkelerinden gelen bağlantıları engellediğini ve kodun bazı bölümlerinde Rusça yorumlar bulunduğunu belirtiyor. Bu tür saldırılar, dijital varlıkların güvenliği konusunda sürekli tetikte olmayı gerektiriyor.

Siber güvenlik uzmanları, kripto yatırımcılarına ve geliştiricilere önemli uyarılarda bulunuyor. Kullanıcıların tohum ifadelerini asla bir bilgisayar klavyesi kullanarak girmemeleri, üçüncü taraf komut dosyalarını internetten çalıştırmamaları ve sistemlerinde gizli Uzak Masaüstü Protokolü (RDP) erişimi olup olmadığını düzenli olarak kontrol etmeleri tavsiye ediliyor. Ayrıca, şüpheli e-postalar, mesajlar veya indirmeler konusunda dikkatli olunması, sadece güvenilir kaynaklardan yazılım indirilmesi ve iki faktörlü kimlik doğrulamanın (2FA) etkinleştirilmesi gibi temel güvenlik önlemlerinin uygulanması büyük önem taşıyor. Piyasa beklentileri, siber güvenlik tehditlerinin kripto ekosistemi için uzun vadeli bir risk olmaya devam edeceği yönünde.