本物のアプリ内部に偽画面を描画、LedgerやTrezorからシードフレーズを盗み出す「OkoBot」マルウェアの脅威

要点

• カスペルスキーは、仮想通貨ハードウェアウォレットの公式アプリに偽の入力画面を挿入するマルウェア「OkoBot」のモジュール「SeedHunter」の分析レポートを公開した。

• SeedHunterは、本物のアプリを実行したままその内部プロセスをフックし、資産の復元に必要なリカバリーフレーズを騙し取る。

• 感染したPCに実際のウォレットデバイスがUSB接続されるのを検知してから偽画面を表示する、独自の監視機能を備えている。

• 侵入経路にはブラウザのエラーを装う「ClickFix」やGitHub上の偽ソフトウェアが使われ、侵入後はリモート操作環境の構築やセキュリティ機能の無効化を行う。

• セキュリティ企業カスペルスキー（Kaspersky）のグローバル調査分析チーム（GReAT）は2026年7月15日、Windows搭載PCを標的とするマルウェアフレームワーク「OkoBot」に関する分析レポートを公開した。OkoBotは2025年4月から活動しているマルウェアで、その一部である「SeedHunter（シードハンター）」モジュールは、LedgerやTrezorといったハードウェアウォレット（仮想通貨の秘密鍵をオフラインで管理する物理デバイス）の連携アプリを乗っ取り、ウォレットの復元に必要なリカバリーフレーズ（シードフレーズ）を盗み出す。

実行中の本物アプリを乗っ取る「SeedHunter」の仕組み

SeedHunterは、標的のPC上で「Trezor Suite」「Ledger Wallet」「Ledger Live」といったウォレット管理ソフトの起動を監視する。これらが起動すると、SeedHunterはアプリの基盤である「Electron（エレクトロン、Web技術でデスクトップアプリを作るフレームワーク）」の内部プロセスをフック（プログラムの処理を監視・改ざんする手法）し、指令役であるC2サーバー（攻撃者がマルウェアに指令を送り、データを回収するサーバー）の moonsand[.]store へ接続する。

C2サーバーから待機指令（Waitフラグ）が出ている場合、SeedHunterはUSB接続を監視し、実際のLedgerやTrezorデバイスがPCに接続されるまで待機する。物理的な接続が検知された時点で、ブランドごとのデザインに合わせた偽のリカバリーフレーズ入力画面を描画する。待機指令がない場合は、接続を待たずに即座に偽画面を表示する。

ユーザーがこの画面にフレーズを入力すると、データはアプリのコンソールから収集され、JSON形式で外部に送信される。同時に、一時フォルダ内に暗号化されたコピーも保存される。なお、ウォレットデバイス自体がハッキングされたわけではなく、デバイスは秘密鍵を安全に保持し続けているが、連携するPC側のアプリが偽装されることで、ユーザー自身の手でフレーズを入力させてしまうという罠である。

過去のマルウェアとのアプローチの違い

過去にもウォレット連携ソフトを標的にしたマルウェアは確認されている。例えば、macOS向けの「AMOS」は本物のアプリを強制終了して偽のクローンアプリを配置していた。また、2026年3月に確認された「GlassWorm」は、デバイスの接続を検知した後に独自の偽ウィンドウを最前面にポップアップさせていた。

これらに対し、SeedHunterが特徴的なのは、本物のアプリを実行した状態のまま、そのウィンドウの「内部」に直接偽の入力画面を描画する点である。この手法により、ユーザーは不審な挙動に気づきにくく、本物のアプリからの正規の要求であると誤認しやすくなっている。

複雑な侵入経路とバックドアの構築

OkoBotの感染ルートは、ブラウザのエラーを偽装して不正コマンドを実行させる「ClickFix」と、GitHub上で配布されるトロイの木馬（無害なソフトを装った悪意あるプログラム）化された偽ソフトウェアの2種類が確認されている。具体的には、データベース管理ツール「SQL Server Management Studio（SSMS）」の配布を装いながら、実際には悪意あるインプラントを組み込んだオーディオ編集ソフト「Audacity」を配信するGitHubリポジトリが確認されている。このリポジトリはSSMSの検索結果で上位に表示されており、2025年3月下旬から6月まで稼働していた。

侵入後は、PowerShellダウンローダー「TookPS」が実行され、SSH（通信内容を暗号化して安全に遠隔操作を行うプロトコル）をインストールして攻撃者サーバーと接続する。この経路を通じて自動接続するSSHボットが、ウォレットファイルやブラウザのCookie、認証情報などを盗み出す。

さらにボットは、Windows Defenderの通知をレジストリ書き換えで無効化した上で、リモート操作環境を構築する。具体的には、ファイアウォールの開放、アカウントの追加、同時RDP（リモートデスクトップ、ネットワーク経由でPCを操作する機能）接続を可能にするシステムファイルの改ざんを行い、「Apple Sync」という名のタスクで逆接続用のトンネルを毎時間再構築する。

その後、難読化されたランチャー「HDUtil」が動作し、UAC（ユーザーアカウント制御、システム権限の変更時にユーザーの許可を求める機能）の制限をバイパスしてサイレントに権限を昇格させる。最終的に、音量管理ユーティリティ「Volume2」の悪意あるファイルを介して、SeedHunterなどのモジュールを動作させる。

被害の広がりと現状

カスペルスキーのテレメトリ（遠隔測定）データによると、これまでに25カ国以上で数百人の被害者が確認されている。特にブラジル、ベトナム、カナダ、メキシコ、トルコにおいて多くの攻撃が検知されている。

実際にどれだけのユーザーがリカバリーフレーズを入力し、資産を盗まれたかについてはレポートに明記されていない。しかし、OkoBotは20種類以上のペイロードやインプラントを抱えており、レポートが発表された2026年7月15日時点でも活発に活動を続けているため、引き続き警戒が必要である。