En juillet 2026, l’équipe mondiale de recherche et d’analyse de Kaspersky a publié une analyse détaillée d’un framework malveillant baptisé OkoBot. Ce framework est actif depuis plus d’un an et restait opérationnel au moment de la publication de Kaspersky. OkoBot est une boîte à outils composée de plus de 20 charges utiles, qui infecte un ordinateur Windows, ouvre un canal distant caché, puis déploie des plugins spécialisés pour différentes tâches.
Kaspersky a documenté deux principales portes d’entrée du malware : une attaque d’ingénierie sociale baptisée « ClickFix », et un logiciel malveillant dissimulé dans des programmes téléchargés depuis GitHub. Un exemple cité est un faux package SQL Server Management Studio qui était en réalité l’éditeur audio Audacity authentique, mais avec une bibliothèque malveillante greffée. Ce package apparaissait en tête des résultats de recherche, ce qui lui donnait une apparence légitime et inspirait confiance aux utilisateurs.
Une fois l’appât exécuté, un script PowerShell nommé TookPS installe un tunnel SSH vers l’attaquant. Un bot automatisé récolte alors les fichiers de wallet, cookies de navigateur et identifiants, et ouvre discrètement la porte aux charges utiles plus lourdes.
L’une de ces charges utiles a retenu notre attention. Kaspersky l’appelle SeedHunter, et elle a un objectif unique : voler les phrases de récupération des utilisateurs de hardware wallets. Nous avons lu le rapport en détail, puis interrogé les deux responsables de la sécurité de Tangem pour leur poser une question directe : SeedHunter peut-il fonctionner contre Tangem ?
Ce que fait réellement SeedHunter
SeedHunter surveille en continu la liste des processus actifs sur un PC Windows infecté. Il recherche trois applications précises : Trezor Suite, Ledger Live et Ledger Wallet. Lorsqu’il en détecte une en cours d’exécution, il injecte son propre code dans ce processus.
Ces applications de wallet de bureau sont construites sur Electron, un framework qui encapsule une page web dans une application de bureau. SeedHunter s’accroche aux fonctions internes d’Electron, ce qui lui permet de modifier ce que l’application affiche sans que l’utilisateur ne s’en rende compte. La fenêtre du wallet devient alors la toile de l’attaquant.
Le malware effectue des analyses USB périodiques, filtrées par Vendor ID et Product ID, et attend qu’un véritable appareil Trezor ou Ledger soit branché. Kaspersky a constaté que le malware peut attendre un signal « go » de son serveur de commande ou agir immédiatement, selon le paramètre reçu.
Lorsqu’un appareil est connecté, le malware affiche une page de phishing prédéfinie à l’intérieur de l’application de confiance, avec une présentation différente selon la marque du wallet. La page demande à l’utilisateur de saisir sa phrase de récupération pour « restaurer » ou « vérifier » le wallet.
L’utilisateur pense saisir sa phrase dans son propre logiciel authentique, incité par le branchement de son appareil. Une fois la phrase entrée, le malware la capture, l’envoie à un serveur de commande et en conserve aussi une copie locale chiffrée. Les fonds sont ensuite vidés à la convenance de l’attaquant.
Les autres plugins d’OkoBot élargissent considérablement le champ d’action. OkoSpyware dresse une liste de plus de 100 applications ciblées, incluant des wallets comme Exodus et des gestionnaires de mots de passe comme 1Password et KeePassXC, puis enregistre la vidéo de leurs fenêtres via une copie embarquée de FFmpeg tout en enregistrant chaque frappe clavier.
Le tableau dressé par Kaspersky est celui d’une surveillance totale de la machine infectée, avec un piège à phrase de récupération placé au centre.
Quand l’attaquant n’a rien à voler
SeedHunter a besoin de réunir quatre conditions distinctes pour réussir. Avec une configuration Tangem par défaut, aucune des quatre n’est remplie.
Il lui faut une phrase de récupération à hameçonner. C’est la base de toute l’attaque. Dans le modèle standard Tangem, la clé privée est générée à l’intérieur de l’élément sécurisé certifié de la carte et n’en sort jamais. Si l’utilisateur ne possède pas de phrase de récupération, il n’y a rien à demander via une page de phishing.
Ensuite, il lui faut une application de bureau à infecter. SeedHunter cible trois processus Windows spécifiques, tous des applications Electron de bureau. Tangem ne propose aucune application de bureau.
Troisièmement, il lui faut détecter un appareil USB. Le déclencheur du malware est un scan USB à la recherche des Vendor et Product IDs de hardware wallets connus. Les cartes Tangem communiquent avec le téléphone via NFC, par simple tapotement.
Enfin, il lui faut un prétexte crédible. Les utilisateurs de Ledger et Trezor savent que les processus de récupération et de vérification sont intégrés à leurs applications, donc une demande de phrase leur semble normale. Le flux standard de Tangem ne demande jamais à l’utilisateur de saisir une phrase de récupération. Vous scannez votre carte ou anneau et saisissez vos données biométriques ou votre code d’accès. Une demande de phrase de récupération serait un signal d’alerte immédiat pour un utilisateur Tangem.
Andrey Lazutkin, CTO de Tangem, considère la phrase de récupération elle-même comme le point faible structurel visé par ces attaques.
« Lorsque les gens achètent un hardware wallet, ils s’attendent à ce que l’appareil protège leurs clés privées. Mais dans de nombreux wallets traditionnels, l’appareil affiche d’abord la phrase de récupération à l’utilisateur et lui transfère la responsabilité. »
« À partir de ce moment, le maillon faible n’est plus le hardware wallet, poursuit-il. C’est la phrase de récupération : un bout de papier, une plaque métallique, un tiroir, un coffre, une photo qu’il ne faudrait jamais prendre, ou une phrase qui peut être perdue, abîmée, copiée, exposée ou volée. »
Les attaques de phishing continuent également de cibler directement les phrases de récupération, car une fois qu’une phrase est exposée, le prix ou le niveau de sécurité du hardware wallet n’a plus aucune importance.
Qu’est-ce qui protège le smartphone ?
Le modèle Tangem, axé mobile et ancré matériellement, contourne structurellement OkoBot. Cependant, les malwares mobiles constituent une menace réelle. Nous avons donc demandé comment l’application elle-même résiste aux trois techniques principales utilisées par OkoBot : superpositions factices, keylogging et capture d’écran.
Selon Lazutkin, l’application Tangem intègre toute une pile de protections à l’exécution.
vérifications d’intégrité à l’exécution,
anti-debugging,
anti-émulation,
détection du root et du jailbreak,
stockage chiffré,
communication sécurisée,
validation des certificats,
protection WebView,
protection contre le tapjacking,
saisie sécurisée des données.
Il ajoute aussi des permissions minimisées, des revues de code, des audits et des contrôles de sécurité automatisés. Trois de ces défenses ciblent directement les méthodes d’OkoBot (tapjacking, keylogging, capture vidéo).
La protection contre le tapjacking est la réponse mobile à la fausse fenêtre de SeedHunter. Sur mobile, l’équivalent consiste à superposer une fenêtre invisible ou trompeuse sur l’application, de sorte que l’utilisateur pense appuyer sur un bouton alors qu’il en autorise un autre. L’application Tangem vérifie activement la présence de vues obscurcies lors des interactions sensibles afin d’empêcher toute superposition invisible de détourner les actions de l’utilisateur. Toute tentative d’attaque par superposition est systématiquement détectée et bloquée.
La saisie sécurisée des données répond au keylogger. Les claviers personnalisés sont un vecteur courant pour intercepter ce que saisissent les utilisateurs, c’est pourquoi l’application détecte leur utilisation lors de la saisie de données sensibles. Elle désactive également l’autocomplétion, la correction orthographique, la sauvegarde des mots de passe et la saisie prédictive sur les champs critiques, car ces fonctions peuvent discrètement enregistrer ou suggérer des informations sensibles et les divulguer ultérieurement.
Le blocage des captures d’écran et de l’enregistrement vidéo répond à la capture vidéo d’OkoSpyware. Dans toute section de l’application affichant des données sensibles, les captures d’écran et l’enregistrement vidéo sont formellement interdits. La technique utilisée par OkoSpyware pour filmer les fenêtres de wallet sur PC est bloquée au niveau du système d’exploitation sur le téléphone.
OkoBot s’est propagé via un faux dépôt GitHub référencé par les moteurs de recherche et positionné en tête des résultats pour une requête logicielle courante. Les utilisateurs cherchant un outil légitime tombaient d’abord sur le logiciel malveillant.
Il a aussi exploité une dépendance trojanisée. Kaspersky a remonté la charge utile finale jusqu’à une bibliothèque malveillante protobuf.dll intégrée à un utilitaire open source, qui semblait identique à la bibliothèque officielle mais, une fois déchiffrée, lançait le véritable gestionnaire de plugins en arrière-plan.
Lorsqu’un programme en apparence légitime chargeait cette bibliothèque, il chargeait aussi le malware. C’est le même type d’attaque qui a déjà touché de grands projets logiciels : empoisonner une dépendance de confiance, et tout ce qui en dépend hérite du problème.
Nous avons demandé à Anton Afanasyev, CISO de Tangem, comment Tangem protège sa chaîne de production contre ce risque précis.
« Nous combinons plusieurs mesures, explique-t-il. La première consiste à réduire la dépendance au code externe pour les parties les plus sensibles. Nous avons forké ou réécrit certaines bibliothèques externes critiques. » Une bibliothèque forkée et maintenue en interne ne peut pas être remplacée silencieusement par une version trojanisée, contrairement à une dépendance publique téléchargée sans contrôle.
La deuxième couche repose sur la rigueur des processus. « Nous avons mis en place un processus de développement sécurisé, incluant des vérifications de vulnérabilités sur toutes les dépendances, une fenêtre de mise à jour contrôlée, des revues de code, etc. » Cette fenêtre contrôlée est essentielle : les dépendances ne sont pas mises à jour automatiquement dès qu’une nouvelle version sort, ce qui est précisément le moment où un package compromis peut faire des dégâts. Les mises à jour sont examinées et validées de façon délibérée.
Nous avons également interrogé Lazutkin sur la possibilité d’une mise à jour malveillante poussée non pas via une dépendance, mais via la boutique officielle d’applications, grâce à des identifiants développeur volés.
Pour qu’une telle attaque aboutisse, explique-t-il, « un attaquant devrait compromettre nos identifiants développeur, contourner la MFA et les contrôles d’accès internes, franchir le processus d’approbation de publication, injecter du code malveillant dans la version officielle, passer la validation Apple ou Google, conserver l’identité officielle de l’application, éviter la détection de malware par la plateforme, et rester invisible pour notre équipe, nos systèmes de surveillance et la communauté open source. »
Campagne de veille sur les menaces
OkoBot a positionné un faux dépôt en haut des résultats de recherche et imité des marques reconnues pour gagner la confiance des utilisateurs. Se défendre contre cette stratégie de distribution exige une surveillance constante. Nous avons demandé à Afanasyev comment Tangem détecte les fausses applications, faux dépôts et pages de phishing utilisant notre image de marque.
« Tangem surveille les flux d’intelligence sur les menaces et les canaux d’actualité pour repérer les familles de malwares et campagnes pertinentes pour ses utilisateurs, et je supervise personnellement cette veille. » Sur la contrefaçon et l’usurpation, il précise : « Nous surveillons différentes ressources et boutiques d’applications Android non officielles, y compris GitHub. »
Les retraits de sites de phishing reposent sur deux sources complémentaires. « Nos utilisateurs nous signalent les sites de phishing ainsi que les faux comptes sur les réseaux sociaux et messageries, explique Afanasyev. La seconde source reste confidentielle. Lorsqu’une ressource frauduleuse est identifiée, Tangem coordonne la procédure de retrait avec les parties compétentes. »
Nous avons gardé la question la plus directe pour la fin. Une famille de stealer ou spyware connue a-t-elle déjà ajouté l’application Tangem à sa liste de surveillance, comme OkoSpyware le fait pour MetaMask et Tonkeeper ?
« À ce jour, nous n’avons connaissance d’aucun malware mobile de ce type, répond Afanasyev. Il précise le seul cas existant. Sur ordinateur, des attaquants ont mené des campagnes incitant les utilisateurs à télécharger une fausse application “Tangem Desktop”. Il s’agit de virus classiques qui ouvrent simplement un accès à distance à l’ordinateur de la victime. Ce n’est pas un stealer de phrase de récupération ciblé comme SeedHunter. Les attaquants se rabattent sur des malwares d’accès à distance génériques, car l’attaque spécialisée n’a pas de cible. »
Ce qu’il faut retenir
SeedHunter est une attaque sophistiquée visant un modèle précis : une application de wallet de bureau connectée à un appareil physique via USB qui, à un moment donné, affiche une phrase de récupération à l’utilisateur.
Tangem n’est conçu selon aucun de ces trois points. Ainsi, le plugin le plus avancé du framework arrive chez un utilisateur Tangem et ne trouve rien à faire. Il recherche des wallets USB qui n’existent pas. Il attend d’injecter son code dans des processus de bureau qui n’existent pas. Il se prépare à hameçonner une phrase qui n’a jamais été écrite.
Ce résultat découle directement d’une philosophie de sécurité qui préfère supprimer des composants plutôt qu’en ajouter, et qui garde l’élément essentiel — la clé privée — scellé dans une puce qui n’a jamais à faire confiance à l’ordinateur auquel elle se connecte.
Il reste cependant de vraies responsabilités côté utilisateur. Un utilisateur qui importe une phrase de récupération externe dans Tangem et en conserve une copie papier réintroduit le maillon faible exact que SeedHunter traque, et peut toujours se faire piéger pour cette phrase via d’autres canaux.
Andrey Lazutkin est Chief Technology Officer chez Tangem. Anton Afanasyev est Chief Information Security Officer chez Tangem.
Demandez à l’IA si Tangem correspond à vos besoins
Recherchez le portefeuille Tangem avec l’IA pour savoir si notre sécurité et notre facilité d’utilisation correspondent à vos cas d’utilisation uniques
Demandez à l’IA si Tangem correspond à vos besoins
Recherchez le portefeuille Tangem avec l’IA pour savoir si notre sécurité et notre facilité d’utilisation correspondent à vos cas d’utilisation uniques
Or open it in
Still deciding?
Explore the basics, compare your options, or save when you’re ready to get Tangem.
