Tangem を購入する

カスペルスキーが発見したシードフレーズ窃取型マルウェア「OkoBot」とは

この記事は次の言語でご利用いただけます：

Author logo
Patrick Dike-Ndulue •
Post image

2026年7月、Kasperskyのグローバルリサーチ＆アナリシスチームは、「OkoBot」と呼ばれるマルウェアフレームワークの詳細な分析を公開しました。このフレームワークは1年以上前から活動しており、Kasperskyが公開した時点でも稼働中でした。OkoBotは20種類以上のペイロードを持つツールキットで、Windowsマシンに感染し、隠れたリモートチャンネルを開いた後、特定の役割を持つ専用プラグインを展開します。

 

Kasperskyは、マルウェアの主な侵入経路を2つ記録しています。ひとつは「ClickFix」と呼ばれるソーシャルエンジニアリング攻撃、もうひとつはGitHubからダウンロードしたソフトウェアに仕込まれたマルウェアです。たとえば、SQL Server Management Studioの偽パッケージが、実際には本物のAudacity音声編集ソフトに悪意あるライブラリを追加したものでした。検索結果の上位に表示されることで、正規品のように見え、ユーザーの信頼を得ていました。

 

ユーザーがこの罠を実行すると、TookPSというPowerShellスクリプトが攻撃者側へのSSHトンネルを設置します。自動化されたボットがウォレットファイルやブラウザのクッキー、認証情報を収集し、さらに重いペイロードの侵入を許します。

 

その中でも特に注目すべきペイロードがありました。Kasperskyはこれを「SeedHunter」と呼び、ハードウェアウォレット利用者のリカバリーフレーズを盗むことだけを目的に作られています。私たちはこのレポートを詳細に読み込み、Tangemのセキュリティ責任者2名に「SeedHunterはTangemにも有効か？」という直接的な質問を投げかけました。
 

SeedHunterの実際の動作

SeedHunterは感染したWindows PC上で実行中のプロセス一覧を常時監視し、Trezor Suite、Ledger Live、Ledger Walletの3つのアプリケーションを探します。いずれかを検出すると、そのプロセスに独自のコードを注入します。

これらのデスクトップウォレットアプリは、Electronという、Webページをデスクトップアプリとしてラップするフレームワーク上で動作しています。SeedHunterはElectronの内部機能にフックし、ユーザーに気づかれずにアプリの表示内容を書き換えることができます。ウォレットのウィンドウ自体が攻撃者のキャンバスとなるのです。
 

マルウェアは定期的にUSBスキャンを実行し、Vendor IDやProduct IDでフィルタリングしながら、本物のTrezorやLedgerデバイスが接続されるのを待ちます。Kasperskyによると、マルウェアはコマンドサーバーからの「go」信号を待つか、受信したフラグによっては即座に動作を開始することもあります。

 

デバイスが接続されると、マルウェアは信頼されたアプリ内にハードコーディングされたフィッシングページを表示し、各ウォレットブランドごとに異なるレイアウトで展開します。このページはユーザーに「リカバリー」や「検証」のためとしてシードフレーズの入力を促します。

 

ユーザーは自分の本物のウォレットソフトだと信じて入力しますが、フレーズが入力されるとマルウェアがそれを取得し、コマンドサーバーに送信し、暗号化されたローカルコピーも保存します。資金は攻撃者のタイミングで抜き取られます。

 

OkoBotの他のプラグインも攻撃範囲を大きく広げています。OkoSpywareは、Exodusのようなウォレットや1Password、KeePassXCなどのパスワードマネージャーを含む100種類以上のターゲットアプリをリスト化し、FFmpegのバンドル版でウィンドウの映像を録画しつつ、すべてのキーストロークを記録します。

また、ブラウザ拡張型ウォレットも同様に標的となります。 Kasperskyのテレメトリーによれば、MetaMaskやTonkeeperのタブも同じ方法でフラグ付けされ記録されています。別モジュールであるMC Keyloggerは、キーストローク、クリップボードの内容（コピー画像含む）、接続されたUSBデバイスの詳細、5分ごとのスクリーンショットも収集します。

 

Kasperskyの描く全体像は、感染したマシンの完全な監視体制と、その中心に据えられたシードフレーズ罠です。


攻撃者が盗むものがない場合

SeedHunterが成功するには4つの条件が必要ですが、Tangemの標準設定ではそのすべてが満たされません。

  1. フィッシング対象となるシードフレーズが必要。これが攻撃の根幹です。Tangemの標準モデルでは、秘密鍵はカード内の認証済みセキュアエレメントで生成され、外部に出ることはありません。ユーザーがシードフレーズを持っていなければ、フィッシングページが要求できるものがありません。
     
  2. 2つ目は、注入対象となるデスクトップアプリが必要。SeedHunterは3つの特定Windowsプロセス（いずれもElectron製デスクトップアプリ）を狙いますが、Tangemにはデスクトップアプリが存在しません。
     

  3. 3つ目は、検出するUSBデバイスが必要。マルウェアのトリガーは、既知ウォレットハードウェアのVendor IDとProduct IDを求めるUSBスキャンです。TangemカードはスマートフォンとNFCで通信します。

     

  4. 4つ目は、もっともらしい理由付け（前提）が必要。LedgerやTrezorのユーザーは、リカバリーや検証フローがアプリに組み込まれていることを知っているため、フレーズ入力のプロンプトが出ても違和感を持ちません。しかしTangemの標準フローでは、リカバリーフレーズの入力を求められることはありません。カードやリングをスキャンし、バイオメトリクスやアクセスコードを入力するだけです。シードフレーズ入力のプロンプトが出たら、Tangemユーザーにとっては明らかな警告サインになります。

     

TangemのCTOであるAndrey Lazutkinは、シードフレーズそのものがこうした攻撃の構造的な弱点だと指摘します。

 

「多くの人はハードウェアウォレットを購入すればデバイスが秘密鍵を守ってくれると期待します。しかし多くの従来型ウォレットでは、最初にデバイスがシードフレーズをユーザーに表示し、その管理責任をユーザーに戻してしまいます。」

 

「その瞬間から、最も脆弱なポイントはハードウェアウォレットではなくなります。シードフレーズこそが弱点となるのです。紙切れ、金属プレート、引き出しや金庫、絶対に撮ってはいけない写真、紛失・破損・コピー・漏洩・盗難のリスクが常につきまといます。」


フィッシング攻撃は現在もシードフレーズ自体を直接狙い続けています。一度シードフレーズが漏洩すれば、ハードウェアウォレットの価格やセキュリティレベルは意味をなさなくなります。

スマートフォンを守る仕組み

Tangemのモバイルファーストかつハードウェア連携型モデルは、構造的にOkoBotの攻撃を回避します。ただし、モバイルマルウェアも現実の脅威です。そこで、アプリ自体がOkoBotの3つの主要手法（偽オーバーレイ、キーロギング、画面キャプチャ）にどう対抗しているかを尋ねました。

Lazutkinによれば、Tangemアプリは実行時に多層的な保護を行っています。

  • 実行時の整合性チェック
  • アンチデバッグ
  • アンチエミュレーション
  • root化・脱獄検出
  • 暗号化ストレージ
  • 安全な通信
  • 証明書検証
  • WebView保護
  • タップジャッキング対策
  • セキュア入力処理

 

さらに、最小限の権限設定、コードレビュー、監査、自動セキュリティチェックも加えています。これらのうち3つはOkoBotの攻撃手法（タップジャッキング、キーロギング、映像キャプチャ）に直接対応しています。

 

タップジャッキング対策は、SeedHunterの偽画面へのモバイル側の答えです。モバイルでは、アプリのウィンドウを上書きする代わりに、透明または誤解を招くオーバーレイを重ねることで、ユーザーが意図せず別の操作を許可してしまうことがあります。Tangemアプリはユーザー操作中に画面が隠れていないか常時チェックし、重要な場面でのタップ乗っ取りを防ぎます。オーバーレイ攻撃は必ず検知・遮断されます。

 

セキュア入力処理はキーロガー対策です。カスタムキーボードは入力内容の盗み見に使われやすいため、アプリは機密データ入力時にそれを検知します。また、オートコンプリートやスペルチェック、パスワード保存、予測変換も重要な項目では無効化し、入力内容がキャッシュされたり漏洩するリスクを防ぎます。

 

スクリーンショット・画面録画の禁止はOkoSpywareの映像キャプチャ対策です。アプリ内で機密データを表示する部分では、スクリーンショットや画面録画がOSレベルで禁止されます。PCでウォレットウィンドウを撮影するOkoSpywareの手法は、スマートフォンでは通用しません。

 

これらすべての根底には整合性チェックがあります。アプリは実行時に自身のコードが改ざんされていないか検証し、不正または危険なバージョンの実行を防ぎます。これは「Runtime Application Self-Protection（RASP）」と呼ばれる分野の一部であり、TangemはLicel社のDexProtectorを採用しています。これは大手銀行や決済アプリでも使われている組み込み保護技術であり、EMVCoがAndroidとiOS両方で評価・認定した初のソフトウェア保護ツールです。

サプライチェーンリスク

OkoBotは、検索エンジンで上位表示された偽GitHubリポジトリを通じて拡散しました。正規ツールを探していたユーザーが、まず悪意あるものを見つけてしまう状況です。

 

また、トロイの木馬化された依存ライブラリも利用されました。Kasperskyは最終ペイロードが、正規のライブラリに見せかけた悪意あるprotobuf.dll（オープンソースユーティリティに同梱）であることを突き止めています。復号時に本物そっくりのまま、実際には裏で本物のプラグインディスパッチャを起動する仕組みでした。

 

見た目が正規品のプログラムがこのライブラリを読み込むと、同時にマルウェアも稼働します。これは大規模ソフトウェアプロジェクトも苦しめてきた攻撃手法であり、「信頼された依存関係を汚染すれば、その下流すべてが毒される」というものです。

 

Tangemはこのリスクにどう対応しているのか、CISOのAnton Afanasyev氏に尋ねました。

 

「私たちは複数の対策を組み合わせています」と彼は語ります。まず、最も重要な部分で外部コードへの依存を減らすこと。「必要な外部ライブラリのうち、特に重要なものはフォークまたは自社で書き直しています」。社内で管理するライブラリは、パブリック依存関係のようにこっそりトロイの木馬化されるリスクがありません。

 

次の層はプロセス管理です。「安全な開発プロセスを導入し、すべての依存関係に脆弱性チェック、更新の管理ウィンドウ、コードレビューなどを徹底しています」。ここで重要なのは、依存関係の自動更新を避けている点です。新バージョンが出た直後は特に危険であり、手動でレビューし、意図的に導入しています。

 

また、依存関係ではなく公式アプリストア経由で、盗まれた開発者資格情報を使って悪意あるアップデートが配信される可能性についてもLazutkinに尋ねました。


この攻撃が成立するには、「攻撃者は私たちの開発者資格情報を奪い、多要素認証や社内アクセス制御を突破し、リリース承認プロセスを通過し、公式ビルドに悪意あるコードを注入し、AppleやGoogleの審査をすり抜け、公式アプリのアイデンティティを維持し、プラットフォームのマルウェア検知を回避し、私たちのチームや監視システム、オープンソースコミュニティに気付かれずにいなければなりません」と説明しています。

脅威監視キャンペーン

OkoBotは偽リポジトリを検索結果上位に表示させ、信頼できるブランドを模倣してユーザーの信頼を得ていました。これに対抗するには、継続的な監視が不可欠です。Tangemが偽アプリや偽リポジトリ、ブランドを模したフィッシングページをどう検出しているのか、Afanasyev氏に聞きました。


「Tangemは、ユーザーに関係するマルウェアファミリーや攻撃キャンペーンについて、脅威インテリジェンスやニュースチャネルを監視しており、この監視は私自身が直接担当しています」。偽造・なりすまし対策については、「さまざまなリソースや非公式Androidアプリストア、GitHubなども監視しています」と述べています。


フィッシング対策の通報は2つのルートで行われます。「ユーザーからフィッシングサイトや偽SNS・メッセンジャーアカウントの報告を受け付けています」とAfanasyev氏。もうひとつのルートは非公開ですが、フィッシングリソースが特定されると、Tangemは関係各所と連携して削除対応を進めています。


最後に最も鋭い質問を投げかけました。OkoSpywareがMetaMaskやTonkeeperを監視リストに加えているように、Tangemアプリが既知のスティーラーやスパイウェアファミリーの標的になったことはあるのでしょうか？ 

 

「現時点でそのようなモバイルマルウェアは確認されていません」とAfanasyev氏は語ります。ただし、ひとつだけ存在するものについては明確に説明しています。デスクトップでは、攻撃者がユーザーに偽の「Tangem Desktop」アプリをダウンロードさせるキャンペーンを展開したことがあります。「これらは単純なリモートアクセス型ウイルスで、被害者のPCに遠隔操作を許すだけです」。SeedHunterのようなシードフレーズ窃取型の標的型攻撃ではありません。専門的な攻撃が成立しないため、攻撃者は汎用的なリモートアクセスマルウェアに頼らざるを得ないのです。


まとめ

SeedHunterは、USB接続の物理デバイスと連携し、ユーザーにシードフレーズを表示するデスクトップウォレットアプリという、特定の設計を狙った巧妙な攻撃です。

 

Tangemはこれら3つの条件を持たない設計です。そのため、OkoBotの高度なプラグインがTangemユーザーの前に現れても、何もできません。存在しないUSBウォレットを探し、存在しないデスクトッププロセスへの注入を待ち、そもそも書き留められていないフレーズのフィッシングを試みるだけです。


この結果は、「余計なものを増やさず、肝心な秘密鍵だけを絶対にチップ内に封じ込め、接続するPCを信頼しなくてよい」――というセキュリティ哲学の必然的な帰結です。


ただし、ユーザーの責任も残ります。外部のシードフレーズをTangemにインポートし、その紙コピーを保管している場合、SeedHunterが狙う脆弱性を自ら再導入したことになり、他経路でフィッシング被害に遭うリスクが残ります。

参考文献

Andrey LazutkinはTangemのCTO（最高技術責任者）、Anton AfanasyevはCISO（最高情報セキュリティ責任者）です。

Author logo
著者 Patrick Dike-Ndulue

Senior editor covering crypto, onchain equities, and technology.
Author logo
レビュー担当者 Andrey Lazutkin

Chief Technology Officer at Tangem.
お見逃しなく

その他の記事