Kaspersky signaleert nieuw malware-framework TookPS en OkoSpyware via GitHub-apps
Kaspersky heeft een tweeledig malware-framework ontdekt dat TookPS gebruikt om seed phrases te stelen en OkoSpyware om Chromium-browsers te bespioneren via getrojaniseerde GitHub-apps.
Kaspersky heeft een naam voor het nieuwste malware-framework dat het gemunt heeft op de seed phrases van crypto-beleggers — en het is venijniger dan de meeste. Het bedrijf identificeerde een tweeledige toolkit die TookPS inzet om seed phrases uit de wallets van slachtoffers te stelen, in combinatie met een gloednieuwe surveillancemodule, OkoSpyware, speciaal gebouwd om activiteit binnen Chrome, Brave, Edge en alles wat op Chromium draait te monitoren, aldus een persbericht van Kaspersky.
Het toegangspunt is social engineering — altijd. Slachtoffers worden verleid tot het downloaden van wat lijkt op legitieme applicaties gehost op GitHub-repositories die zijn getrojaniseerd, wat betekent dat de code is aangepast om een kwaadaardige payload mee te dragen, terwijl deze zich nog genoeg als de echte software gedraagt om niets direct verdacht te laten voelen. Kaspersky noemt het framework “geavanceerd”, en dat label is hier terecht: meertraps-aflevering, actieve ontwijking, ver voorbij de drempel van een simpele eenklik-infectie. TookPS gaat op zoek naar seed phrases zodra het is geïnstalleerd. OkoSpyware waaiert van daaruit uit en houdt in de gaten wat gebruikers doen in die browsers — inloggegevens, sessietokens, surfgedrag, alles wat een tweede deur opent.
Diefstal van seed phrases is hier de cruciale dreiging. Een gestolen wachtwoord is te herstellen; een gestolen seed phrase niet — die geeft aanvallers volledige, permanente controle over een wallet, zonder tweefactorverificatie om over te struikelen en zonder reset-procedure om in gang te zetten. Tegoeden zijn doorgaans al verdwenen voordat het slachtoffer ook maar één ongeautoriseerde transactie opmerkt. Dat maakt TookPS en OkoSpyware als duo echt gevaarlijk: de ene module leegt de kluis, de andere brengt het omliggende terrein in kaart voor welk doelwit er ook volgt.
Dit framework staat los van — en is nieuwer dan — de eerder door Kaspersky gerapporteerde GitVenom-campagne, die eveneens geïnfecteerde GitHub-repositories als wapen inzette tegen gamers en crypto-beleggers. Het patroon is inmiddels moeilijk toeval te noemen. In augustus 2024 onthulde Kaspersky al een campagne genaamd “Tusk”, die populaire web3- en cryptocurrency-onderwerpen als lokmiddel gebruikte om malware te verspreiden gericht op crypto-gebruikers. Tusk, toen GitVenom, nu dit — de ontwikkeling schetst een doelbewuste en escalerende focus op dezelfde doelgroep: beleggers die technisch onderlegd genoeg zijn om tools van GitHub te halen, maar niet altijd voorzichtig genoeg om te controleren of wat ze installeren is gemanipuleerd.
De timing valt in een markt waar de kwetsbaarheid mogelijk verhoogd is. De totale crypto-marktkapitalisatie staat op $2.275,95 miljard. De Fear & Greed Index staat op 25/100 — Extreme Fear. BTC$80.965,00▼1,62% noteert op $64.054, een stijging van 1,37% over de afgelopen 24 uur, met een dominantie van 56,5%, waardoor BTC-wallets een prooi bij uitstek zijn voor malware die seed phrases steelt; wanneer het sentiment zo gedrukt is, zijn beleggers die op herstel of rendement jagen aantoonbaar vatbaarder voor wat een getrojaniseerde app ook belooft — een dynamiek die kwaadwillenden doorzien en waarop ze hun aanpak afstemmen.
Het bredere beeld is niet rustiger. SlowMist signaleerde onlangs MacSync Stealer, een variant die Telegram-sessies kaapt en crypto-wallets op macOS leegtrekt; Kaspersky identificeerde los daarvan SparkKitty-spyware, aanwezig in zowel Google Play als de App Store, eveneens gekoppeld aan het viseren van wallets. Zowel mobiel als desktop vormen een actief aanvalsoppervlak. De rode draad door al deze campagnes is social engineering — aanvallers kraken geen cryptografie, ze overtuigen gebruikers ervan om zelf de sleutels af te geven.
Eén kanttekening is op zijn plaats. Kaspersky heeft een commercieel belang bij het onder de aandacht brengen van dreigingen — het verkoopt immers de endpoint-beveiligingsproducten die ze detecteren — en persberichten over geavanceerde malware-frameworks dienen een dubbel doel: publieke waarschuwing en productreclame tegelijk. Dat ondermijnt de technische bevindingen niet, maar het is wel context. De berichtgeving van CoinTelegraph over de onthulling volgt grotendeels de framing van Kaspersky, zonder onafhankelijke verificatie van de werkelijke omvang van het framework of het aantal slachtoffers.
Voor beleggers is het praktische advies beperkt en niet bepaald spannend. Controleer de herkomst van elke applicatie die van GitHub wordt gehaald — zeker alles dat wallet-beheer, handelstools of web3-integraties belooft. Bewaar seed phrases offline, volledig buiten bereik van elke browser of applicatie die malware zou kunnen raken. Behandel elke ongevraagde aanbeveling om een tool te downloaden, hoe betrouwbaar de bron ook lijkt, als een mogelijk social-engineeringkanaal totdat het tegendeel bewezen is. Kaspersky heeft niet bekendgemaakt wanneer het een vervolgrapport over het framework verwacht te publiceren, maar gezien de ontwikkeling van Tusk via GitVenom naar OkoSpyware zijn extra varianten gericht op dezelfde doelgroep de waarschijnlijkere uitkomst dan een stille aftocht van de campagne.
Nadia Rahman
Nadia Rahman is marktenredacteur bij CoinScoop. Ze volgt bitcoin, macroliquiditeit en de spot-ETF-markt, en schreef eerder over rente en valuta voor een internationaal persbureau.