Em julho de 2026, a Equipe Global de Pesquisa e Análise da Kaspersky publicou uma análise detalhada de um framework de malware chamado OkoBot. O framework está ativo há mais de um ano e continuava em operação no momento da publicação. OkoBot é um kit de ferramentas com mais de 20 cargas maliciosas que infectam máquinas Windows, abrem um canal remoto oculto e então instalam plugins especializados para tarefas específicas.
A Kaspersky documentou dois principais pontos de entrada do malware: um ataque de engenharia social chamado "ClickFix" e malware escondido em softwares baixados do GitHub. Um exemplo foi um pacote falso do SQL Server Management Studio que, na verdade, era o editor de áudio Audacity legítimo, mas com uma biblioteca maliciosa acoplada. Esse pacote aparecia no topo dos resultados de busca, o que o fazia parecer legítimo e conquistava a confiança do usuário.
Assim que o usuário executa o arquivo isca, um script PowerShell chamado TookPS instala um túnel SSH de volta para o invasor. Um bot automatizado então coleta arquivos de carteiras, cookies do navegador e credenciais, abrindo silenciosamente a porta para cargas maliciosas mais pesadas.
Uma dessas cargas chamou nossa atenção. A Kaspersky a chama de SeedHunter, criada com um único objetivo: roubar frases de recuperação de usuários de carteiras de hardware. Lemos o relatório com atenção. Em seguida, conversamos diretamente com os responsáveis pela segurança da Tangem para uma pergunta direta: o SeedHunter funciona contra a Tangem?
O que o SeedHunter realmente faz
SeedHunter monitora continuamente a lista de processos em execução em um PC Windows infectado. Ele procura por três aplicativos específicos: Trezor Suite, Ledger Live e Ledger Wallet. Quando encontra um deles ativo, injeta seu próprio código nesse processo.
Esses aplicativos de carteira para desktop são baseados no Electron, um framework que encapsula uma página web dentro de um aplicativo de desktop. O SeedHunter se conecta às funções internas do Electron, permitindo reescrever o que o app exibe sem que o usuário perceba. A janela da própria carteira vira a tela do atacante.
O malware executa varreduras periódicas de USB, filtrando por Vendor ID e Product ID, e aguarda até que um dispositivo Trezor ou Ledger genuíno seja conectado. A Kaspersky descobriu que o malware pode tanto esperar um sinal de "go" do servidor de comando quanto agir imediatamente, dependendo de uma flag recebida.
Quando um dispositivo é conectado, o malware exibe uma página de phishing fixa dentro do aplicativo confiável, com um layout diferente para cada marca de carteira. A página solicita que o usuário digite sua seed phrase para "recuperar" ou "verificar" a carteira.
O usuário acredita estar digitando em seu próprio software legítimo, após conectar o dispositivo. Quando a frase é inserida, o malware a captura, envia para o servidor de comando e também salva uma cópia criptografada localmente. Os fundos então são drenados quando o atacante desejar.
Outros plugins do OkoBot ampliam significativamente o alcance do ataque. O OkoSpyware compila uma lista de mais de 100 aplicativos-alvo, incluindo carteiras como Exodus e gerenciadores de senhas como 1Password e KeePassXC, gravando vídeo das janelas desses apps usando uma cópia do FFmpeg, enquanto registra todas as teclas digitadas.
O quadro pintado pela Kaspersky é de vigilância total da máquina infectada, com uma armadilha feita sob medida para capturar frases semente no centro.
Quando o atacante não tem nada para roubar
O SeedHunter precisa de quatro condições separadas para ter sucesso. Em uma configuração padrão da Tangem, nenhuma delas está presente.
Precisa de uma seed phrase para aplicar o golpe. Essa é a base de todo o ataque. No modelo padrão da Tangem, a chave privada é gerada dentro do elemento seguro certificado do cartão e nunca sai dele. Se o usuário não tem uma seed phrase, não há nada para uma página de phishing solicitar.
Segundo, precisa de um aplicativo desktop para injetar o código. O SeedHunter mira três processos específicos do Windows, todos aplicativos Electron para desktop. A Tangem não possui aplicativo para desktop.
Terceiro, precisa detectar um dispositivo USB. O gatilho do malware é uma varredura USB em busca dos IDs de carteiras conhecidas. Os cartões Tangem se comunicam com o celular via NFC, por aproximação.
Quarto, precisa de um pretexto convincente. Usuários de Ledger e Trezor sabem que fluxos de recuperação e verificação fazem parte dos apps, então um pedido de frase parece rotina. O fluxo padrão da Tangem nunca pede para digitar uma frase de recuperação. Você apenas escaneia o cartão/anel e insere sua biometria ou código de acesso. Um pedido por seed phrase seria um alerta imediato para o usuário Tangem.
Andrey Lazutkin, CTO da Tangem, vê a própria seed phrase como o ponto estrutural de fragilidade explorado nesses ataques.
"Quando as pessoas compram uma carteira de hardware, esperam que o dispositivo proteja suas chaves privadas. Mas em muitas carteiras tradicionais, o dispositivo primeiro exibe a seed phrase para o usuário e devolve a responsabilidade para ele."
"A partir desse momento, o elo mais fraco não é mais a carteira de hardware", continua ele. "É a seed phrase: um pedaço de papel, uma placa de metal, uma gaveta, um cofre, uma foto que nunca deveria ser tirada, ou uma frase que pode ser perdida, danificada, copiada, exposta ou roubada."
Ataques de phishing continuam mirando diretamente as seed phrases, pois, uma vez exposta, o preço ou o nível de segurança da carteira de hardware deixam de importar.
O que protege o smartphone?
O modelo da Tangem, focado em mobile e ancorado em hardware, contorna o OkoBot estruturalmente. No entanto, malwares para celular são uma realidade. Por isso, perguntamos como o próprio app resiste às três técnicas centrais usadas pelo OkoBot: sobreposições falsas, keylogging e captura de tela.
Segundo Lazutkin, o app Tangem executa uma pilha completa de proteções em tempo de execução.
verificações de integridade em tempo de execução,
anti-debugging,
anti-emulação,
detecção de root e jailbreak,
armazenamento criptografado,
comunicação segura,
validação de certificado,
proteção de WebView,
proteção contra tapjacking,
manuseio seguro de entrada.
Ele também acrescentou permissões minimizadas, revisão de código, auditorias e verificações automáticas de segurança. Três dessas defesas correspondem diretamente aos métodos do OkoBot (tapjacking, keylogging, captura de vídeo).
Proteção contra tapjacking é a resposta mobile à tela falsa do SeedHunter. No celular, o equivalente a sobrescrever a janela de um app é exibir uma sobreposição invisível ou enganosa por cima, fazendo o usuário acreditar que está tocando em algo, quando na verdade está autorizando outra ação. O app Tangem verifica ativamente se há visualizações ocultas durante a interação para garantir que nenhuma sobreposição de interface possa sequestrar toques em áreas sensíveis. Qualquer ataque por sobreposição é sempre detectado e bloqueado.
Manuseio seguro de entrada é a resposta ao keylogger. Teclados personalizados são um vetor comum para capturar o que o usuário digita, então o app detecta seu uso ao inserir dados sensíveis. Também desativa autocompletar, corretor ortográfico, salvamento de senhas e sugestão de texto em campos críticos, pois essas funções podem armazenar ou sugerir dados sensíveis e vazá-los depois.
Bloqueio de capturas de tela e gravação de tela responde à captura de vídeo do OkoSpyware. Em qualquer parte do app que exiba dados sensíveis, capturas e gravações de tela são totalmente proibidas. A técnica usada pelo OkoSpyware para filmar janelas de carteiras no PC é bloqueada em nível de sistema operacional no celular.
O OkoBot se espalhou por meio de um repositório falso no GitHub, indexado por mecanismos de busca e ranqueado no topo dos resultados para buscas comuns de software. Usuários em busca de uma ferramenta legítima encontravam primeiro a versão maliciosa.
O ataque também usou uma dependência trojanizada. A Kaspersky rastreou a carga final até uma protobuf.dll maliciosa, embutida em um utilitário open source, que parecia idêntica à biblioteca legítima, mas ao ser descriptografada, executava o despachante real de plugins por baixo dos panos.
Quando um programa aparentemente legítimo carregava a biblioteca, carregava também o malware. Esse é o mesmo tipo de ataque que já afetou grandes projetos de software: contaminar uma dependência confiável, e tudo que depende dela é afetado.
Perguntamos a Anton Afanasyev, CISO da Tangem, como a Tangem protege sua pipeline de build contra exatamente esse tipo de ameaça.
"Usamos uma combinação de medidas", disse ele. A primeira é reduzir a dependência de código externo nas partes mais críticas. "Fizemos fork ou reescrevemos algumas bibliotecas externas essenciais." Uma biblioteca mantida internamente não pode ser trocada silenciosamente por uma versão trojanizada, como pode acontecer com dependências públicas importadas sem verificação.
A segunda camada é a disciplina de processo. "Temos um processo de desenvolvimento seguro, incluindo verificações de vulnerabilidades em todas as dependências, uma janela de atualização controlada, revisão de código, entre outros." Ter uma janela de atualização controlada é fundamental: as dependências não são atualizadas automaticamente quando uma nova versão é lançada, justamente quando um pacote comprometido pode causar danos. As atualizações são revisadas e liberadas de forma deliberada.
Também perguntamos a Lazutkin sobre a possibilidade de uma atualização maliciosa ser enviada não por uma dependência, mas pela loja oficial de apps, usando credenciais de desenvolvedor roubadas.
Para esse ataque ter sucesso, segundo ele, "um invasor precisaria comprometer nossas credenciais de desenvolvedor, burlar a autenticação em dois fatores e os controles internos de acesso, passar pelo processo de aprovação de lançamento, injetar código malicioso no build oficial, passar pela revisão da Apple ou Google, manter a identidade oficial do app, evitar a detecção de malware das plataformas e ainda não ser percebido pela nossa equipe, sistemas de monitoramento e comunidade open source."
Campanha de monitoramento de ameaças
O OkoBot posicionou um repositório falso nos resultados de busca e imitou marcas confiáveis para conquistar a confiança do usuário. Defender-se dessa estratégia de distribuição exige monitoramento constante. Perguntamos a Afanasyev como a Tangem detecta apps falsos, repositórios fraudulentos e páginas de phishing que imitam nossa marca.
"A Tangem monitora canais de inteligência de ameaças e notícias de segurança para identificar famílias e campanhas de malware relevantes para nossos usuários, e eu mesmo faço esse acompanhamento direto." Do lado de falsificações e imitações, ele diz: "Acompanhamos esses casos monitorando diversos recursos e lojas alternativas de apps Android, incluindo o GitHub."
As remoções de phishing dependem de dois fatores trabalhando juntos. "Nossos usuários reportam sites de phishing e perfis falsos em redes sociais e mensageiros para nós", diz Afanasyev. O segundo fator é confidencial. Quando um recurso de phishing é identificado, a Tangem coordena com parceiros responsáveis para remover o conteúdo.
Reservamos a pergunta mais direta para o final. Algum stealer ou spyware conhecido já adicionou o app Tangem à sua lista de vigilância, como o OkoSpyware faz com MetaMask e Tonkeeper?
"Até o momento, não temos conhecimento de nenhum malware mobile desse tipo", afirma Afanasyev. Ele foi preciso sobre o que realmente existe. No desktop, atacantes já fizeram campanhas instruindo usuários a baixar um falso "Tangem Desktop". "São vírus comuns que apenas abrem acesso remoto ao computador da vítima." Não se trata de um stealer de seed phrase direcionado como o SeedHunter. Os atacantes recorrem a malwares genéricos de acesso remoto porque o ataque especializado não encontra alvo.
O que fica de lição
SeedHunter é um ataque bem elaborado contra um design específico: um aplicativo de carteira para desktop conectado a um dispositivo físico via USB que, em algum momento, exibe a seed phrase ao usuário.
A Tangem não foi projetada com nenhum desses três pontos. Assim, o plugin mais sofisticado do framework chega ao usuário Tangem e não encontra nada para fazer. Ele procura carteiras USB que não existem. Aguarda para injetar código em processos desktop que não existem. Fica pronto para capturar uma frase que nunca foi anotada.
Esse resultado é a consequência direta e previsível de uma filosofia de segurança que remove componentes ao invés de adicionar, mantendo o que realmente importa — a chave privada — selada dentro de um chip que nunca precisa confiar no computador ao qual se conecta.
Mas ainda existem responsabilidades reais para o usuário. Se alguém importa uma seed phrase externa para a Tangem e mantém uma cópia em papel, reintroduz o mesmo elo fraco que o SeedHunter explora — e pode ser vítima de phishing dessa frase por outros meios.
