Kaspersky Bongkar “OkoBot”, Malware Canggih yang Mengincar Dompet Kripto

Tim peneliti keamanan Kaspersky mengungkap operasi malware kompleks bernama “OkoBot” yang secara khusus menyasar pengguna cryptocurrency.

Sejak Januari 2026, para peneliti mengidentifikasi serangkaian serangan yang mampu merekam isi jendela dompet kripto korban, dan hingga kini ancaman tersebut masih aktif beroperasi.

“Secara total, framework ini mencakup lebih dari 20 payload dan implan berbahaya, meliputi beragam fungsi. Pada saat laporan ini ditulis, ancaman tersebut masih aktif,” tulis laporan disusun oleh Yaroslav Kikel dan tim Kaspersky, 15 Juli 2026.

Rantai infeksi empat tahap

Berdasarkan investigasi Kaspersky, serangan ini bermula dari eksekusi skrip berbahaya bernama TookPS, lalu berlanjut melalui empat tahap yang saling terhubung erat. Yang membedakan kampanye ini dari yang sebelumnya adalah penggunaan kerangka kerja (framework) baru yang mengirimkan seluruh modul jahat dan mengatur semuanya lewat terowongan SSH.

Secara total, framework ini memuat lebih dari 20 payload dan implan berbahaya dengan beragam fungsi.

BACA JUGA: Pantau Harga Lorenzo Protocol (BANK) Token yang Melonjak Lebih dari 100% dalam Sehari

Cara korban terinfeksi

Infeksi awal disebarkan lewat dua jalur utama:

• Serangan tipe ClickFix
• Malware yang disamarkan sebagai software resmi di GitHub — salah satu contohnya adalah paket palsu “SQL Server Management Studio (SSMS)” yang sebenarnya merupakan aplikasi Audacity (editor audio populer) asli yang telah disusupi kode jahat di salah satu library-nya. Karena repositori ini terindeks mesin pencari dan muncul di posisi teratas untuk pencarian “SSMS”, malware ini berhasil tampak meyakinkan dan cepat mendapat kepercayaan korban.

Begitu terpicu, skrip TookPS akan memasang SSH di perangkat korban, membangun koneksi ke server penyerang, lalu meneruskan koneksi tersebut agar bot SSH otomatis bisa mengambil alih dan mulai mengumpulkan data.

Beragam modul jahat dengan fungsi berbeda

Setelah tersambung, framework ini menjatuhkan berbagai modul jahat, di antaranya:

• Browser extensions loader — memasang ekstensi browser berbahaya secara tersembunyi pada browser berbasis Chromium, termasuk ekstensi pencuri data bernama Rilide yang berfokus mencuri kredensial dan informasi finansial.
• SeedHunter — memantau aplikasi dompet hardware seperti Trezor Suite, Ledger Wallet, dan Ledger Live, lalu menampilkan halaman phishing palsu untuk memancing korban memasukkan seed phrase (frasa pemulihan) dompet mereka.
• MC Keylogger — merekam ketikan keyboard, isi clipboard, perangkat USB yang tersambung, dan mengambil tangkapan layar setiap lima menit.
• OkoSpyware — merekam video layar sekaligus ketikan pengguna saat aplikasi seperti dompet kripto, password manager, atau ekstensi wallet MetaMask dan Tonkeeper sedang aktif digunakan.

Semua data yang berhasil dikumpulkan kemudian dikirim ke server milik penyerang, lalu jejaknya dihapus dari sistem korban untuk menghindari deteksi.

Korban tersebar di lebih dari 25 negara

Kaspersky mencatat ratusan korban OkoBot di lebih dari 25 negara, dengan proporsi terbesar berasal dari Brasil, Vietnam, Kanada, Meksiko, dan Turki.

Hingga laporan ini diterbitkan, Kaspersky belum bisa mengaitkan kampanye ini dengan kelompok kejahatan siber tertentu yang sudah dikenal. Namun, ada beberapa petunjuk yang mengarah pada aktor berbahasa Rusia: server yang menghosting skrip infeksi awal menerapkan pemblokiran geografis khusus terhadap alamat IP dari Rusia dan negara-negara CIS — teknik yang lazim digunakan pelaku kejahatan siber berbahasa Rusia.

Selain itu, kode sumber halaman phishing SeedHunter juga ditemukan mengandung komentar berbahasa Rusia.

Kesimpulan

Kaspersky menekankan bahwa framework ini merupakan sistem yang benar-benar terintegrasi — bukan sekadar kumpulan malware terpisah — dengan pola dan teknik yang saling dipakai ulang di berbagai modul. Kampanye OkoBot sudah berlangsung lebih dari setahun dan terus dikembangkan, menandakan bahwa operasi ini masih dipelihara secara aktif oleh pelakunya.