Kaspersky Global Research and Analysis Team (GReAT) mengungkap OkoBot, sebuah framework malware bertingkat paling canggih yang pernah menargetkan pengguna cryptocurrency wallet. Dengan rantai infeksi 4 tahap dan lebih dari 20 payload, framework ini beroperasi melalui SSH tunnel dan dirancang untuk pencurian aset kripto secara masif di lebih dari 25 negara.
APA YANG TERJADI?
Kaspersky GReAT mendeteksi aktivitas OkoBot sejak Januari 2026 melalui investigasi insiden di beberapa negara. Temuan ini mengungkap framework malware bertingkat yang sangat canggih dengan rantai infeksi 4 tahap, lebih dari 20 payload modular, dan mekanisme komunikasi C2 berbasis SSH tunnel. Framework ini secara spesifik dirancang untuk mencuri cryptocurrency dari berbagai jenis wallet, baik software maupun hardware. Ratusan korban di lebih dari 25 negara telah teridentifikasi, dengan konsentrasi terbesar di Brazil, Vietnam, Canada, Mexico, dan Turki.
DETAIL TEKNIS
Rantai infeksi dimulai dengan teknik ClickFix dan distribusi software palsu di GitHub, contohnya file SSMS palsu yang ternyata merupakan Audacity yang di-repackage dengan implant tersembunyi. Setelah instalasi, SSH bot aktif mengumpulkan informasi sistem, mencuri file wallet dan cookie browser, membuka firewall untuk koneksi RDP, membuat user admin lokal, serta mem-patch file termsrv.dll untuk mendukung remote desktop.
HDUtil launcher menggunakan proteksi VMProtect dengan UAC bypass melalui Windows RPC dan msconfig.exe yang auto-elevated. Browser extension loader melakukan enumerasi semua window aktif, menginjeksi kode ke browser Chromium, dan menginstal ekstensi Rilide stealer yang tersembunyi dari pandangan user. Plugin dispatcher mengelola berbagai komponen termasuk CMD wrapper, PowerShell wrapper, env enumerator, dropper, dan process injector.
Modul paling berbahaya adalah SeedHunter yang memantau proses Trezor Suite dan Ledger Wallet secara real-time, meng-hook fungsi Electron untuk menampilkan phishing page yang meniru halaman recovery seed phrase. MC Keylogger mencatat aktivitas clipboard, USB device, dan mengambil screenshot setiap 5 menit. OkoSpyware menangkap video stream dari target window menggunakan FFmpeg terintegrasi, dengan cakupan lebih dari 100 executable target.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki lebih dari 20 juta pengguna cryptocurrency aktif, menjadikannya salah satu pasar kripto terbesar di Asia Tenggara. BSSN dan Kominfo telah berulang kali memperingatkan risiko stealer yang menargetkan wallet kripto, namun OkoBot menghadirkan ancaman jauh lebih canggih dibanding stealer konvensional. Dengan banyaknya pengguna lokal yang mengandalkan hardware wallet Trezor dan Ledger sebagai metode penyimpanan utama, modul SeedHunter yang secara spesifik meng-targetkan kedua platform ini menjadi ancaman langsung dan serius.
Modus distribusi melalui GitHub juga sangat relevan mengingat banyak developer Indonesia aktif mengunduh tools dan software dari repository publik tanpa melakukan verifikasi keaslian. Asosiasi Blockchain Indonesia dan OJK perlu menerapkan edukasi keamanan lebih masif kepada pengguna ritel, khususnya terkait bahaya memasukkan seed phrase ke dalam aplikasi apapun. BSSN juga perlu mengintegrasikan indicator kompromi OkoBot ke dalam framework deteksi nasional untuk memperkuat pertahanan kolektif terhadap ancaman crypto theft berskala besar.
REKOMENDASI MITIGASI
Verifikasi keaslian software hanya dari sumber resmi dan hindari installasi dari GitHub release yang tidak terverifikasi atau tidak memiliki digital signature yang valid. Gunakan hardware wallet dengan firmware resmi dan jangan pernah memasukkan seed phrase ke dalam aplikasi apapun. Implementasi endpoint management untuk memblokir instalasi browser extension yang tidak sah. Monitor traffic SSH outbound yang tidak lazim pada jaringan organisasi, termasuk koneksi SSH ke port non-standar. Terapkan application allowlisting untuk mencegah eksekusi HDUtil dan komponen OkoBot lainnya.
Analisa Retasan
OkoBot merepresentasikan evolusi signifikan dalam teknik pencurian cryptocurrency. Dengan rantai infeksi 4 tahap dan lebih dari 20 payload modular, framework ini dirancang untuk keberlanjutan operasional jangka panjang dan evolusi berkelanjutan, bukan serangan pencurian sekilas. Penggunaan SSH tunnel sebagai kanal C2 memungkinkan penyerang mempertahankan akses persisten sambil tetap tersembunyi dari deteksi berbasis pola network tradisional yang hanya memantau koneksi keluar ke IP asing.
Modul SeedHunter yang secara spesifik meng-targetkan Trezor Suite dan Ledger Wallet menunjukkan tingkat pemahaman mendalam terhadap ekosistem hardware wallet. Teknik serupa pernah terlihat pada operasi Lazarus Group tahun 2023 yang menampilkan phishing overlay pada aplikasi wallet, namun OkoBot mengambil lebih jauh dengan mengintegrasikan kemampuan ini ke dalam framework modular yang dapat diperluas secara dinamis oleh operator.
Geoblocking terhadap wilayah Rusia dan CIS, bersama dengan komentar berbahasa Rusia yang ditemukan dalam source code serta distribusi modul Rilide di forum-forum cybercrime Rusia, menunjukkan keterkaitan kuat dengan ekosistem kejahatan siber berbahasa Rusia. Dari perspektif pertahanan Indonesia, insiden ini menegaskan pentingnya pendekatan defense-in-depth yang ketat untuk semua aset kripto, serta perlunya BSSN mengintegrasikan indicator OkoBot ke dalam framework deteksi nasional.
Sumber: Kaspersky Securelist – OkoBot: new sophisticated malware framework targets cryptocurrency users
OkoBot, TookPS, cryptocurrency stealer, Rilide, SeedHunter, SSH bot, browser extension hijacking, crypto wallet theft
