卡巴斯基发现专门窃取助记词的恶意软件

2026年7月，卡巴斯基全球研究与分析团队发布了一份关于其命名为OkoBot的恶意软件框架的深度分析报告。该框架已活跃一年多，报告发布时依然在持续作恶。OkoBot 是包含20余种有效载荷的工具包，可感染 Windows 电脑，开启隐藏远程通道，并根据任务部署专用插件。

卡巴斯基记录了该恶意软件的两大主要入侵途径：一是通过“ClickFix”社交工程攻击，二是在 GitHub 下载的软件中隐藏恶意代码。例如，有一个伪装成 SQL Server Management Studio 的安装包，实际上是被植入恶意库的正版 Audacity 音频编辑器。由于该包在搜索结果中排名靠前，显得非常可信，容易获取用户信任。

一旦用户运行诱饵程序，名为TookPS的 PowerShell 脚本会建立 SSH 隧道连接攻击者。自动化机器人随后会收集钱包文件、浏览器 Cookie 和凭据，并为更重型的恶意载荷打开大门。

其中有一种有效载荷引起了我们的特别关注。卡巴斯基将其命名为 SeedHunter，专为窃取硬件钱包用户的恢复短语而设计。我们详细研读了报告，并专访了 Tangem 安全负责人，直接发问：SeedHunter 能攻击 Tangem 吗？
 

SeedHunter 的实际运作方式

SeedHunter 会持续监控受感染 Windows 电脑上运行的进程列表，专门寻找三款应用：Trezor Suite、Ledger Live 和 Ledger Wallet。一旦发现其中之一运行，就会将自身代码注入该进程。

这些桌面钱包应用均基于Electron开发，也就是将网页封装进桌面应用的框架。SeedHunter 会钩住 Electron 内部函数，从而在用户毫无察觉的情况下篡改应用显示内容，钱包窗口就成了攻击者的画布。
 

该恶意软件会定期扫描 USB 设备，按厂商 ID 和产品 ID 过滤，并等待真正的 Trezor 或 Ledger 设备插入。卡巴斯基发现，该软件可根据收到的指令选择等待“go”信号或立即启动攻击。

当检测到设备插入时，恶意软件会在受信任应用内显示一页伪造的钓鱼页面，每个钱包品牌页面布局不同。页面会诱导用户输入助记词以“恢复”或“验证”钱包。

用户以为自己在输入正版钱包软件，且是因为插入了自己的设备才被提示。当用户输入助记词后，恶意软件会截获该短语，发送到命令服务器，并在本地加密保存一份。攻击者随后可随时转移资金。

OkoBot 的其他插件极大扩大了攻击面。OkoSpyware 会收集超过100款目标应用，包括 Exodus 等钱包和 1Password、KeePassXC 等密码管理器，然后用捆绑的 FFmpeg 录制窗口视频，同时记录每一次按键。

甚至浏览器插件钱包也会被这样扫入攻击范围；卡巴斯基的遥测显示 MetaMask 和 Tonkeeper 标签页同样被标记并录制。另有独立模块 MC Keylogger，会捕获按键、剪贴板内容（包括复制的图片）、已连接 USB 设备详情，并每五分钟截屏一次。

卡巴斯基描绘的画面是：感染设备被全面监控，核心就是专为助记词设下的陷阱。

当攻击者无可窃取时

SeedHunter 要想得手，需同时满足四个条件。对于默认的 Tangem 设置，这四点全部不存在。

1. 需要可钓鱼的助记词。这是整个攻击的基础。在标准 Tangem 模式下，私钥在卡片内的安全芯片中生成且永不外泄。用户没有助记词，钓鱼页面无从下手。
    
2. 第二，需要可注入的桌面应用。SeedHunter 只针对三款 Windows Electron 桌面应用。Tangem 没有桌面端应用。
    

3. 第三，需要可检测的 USB 设备。 恶意软件以 USB 扫描钱包硬件的厂商和产品 ID 作为触发。Tangem 卡片通过 NFC 与手机通信，只需轻触即可。

    

4. 第四，需要可信的借口。Ledger 和 Trezor 用户习惯了在应用中恢复或验证流程，所以输入助记词的提示很常见。Tangem 的标准流程从不要求用户输入恢复短语。你只需扫描卡片/戒指并输入生物识别或访问码。若弹出输入助记词的提示，对 Tangem 用户来说就是红色警告。

    

Tangem CTO Andrey Lazutkin 认为，助记词本身就是此类攻击的结构性弱点。

“用户购买硬件钱包时，期望设备能保护私钥。但许多传统钱包会先显示助记词，把责任交还给用户。”

“从那一刻起，最薄弱环节就不再是硬件钱包，”他补充说，“而是助记词：一张纸、一块金属板、抽屉、保险箱、一张永远不该拍的照片，或者任何可能丢失、损坏、被复制、暴露或被盗的短语。”

钓鱼攻击也持续直接针对助记词，因为一旦助记词泄露，硬件钱包的价格或安全级别都已无关紧要。

手机如何防御？

Tangem 的移动优先、硬件绑定模式从结构上规避了 OkoBot。然而，移动端恶意软件同样真实存在。我们也询问了 Tangem App 如何抵御 OkoBot 依赖的三大核心手段：伪造覆盖层、键盘记录和屏幕捕获。

据 Lazutkin 介绍，Tangem App 运行时会部署全套安全防护：

• 运行时完整性校验，
• 反调试，
• 反模拟，
• Root 和越狱检测，
• 加密存储，
• 安全通信，
• 证书校验，
• WebView 防护，
• 防 Tapjacking，
• 安全输入处理。

此外，他还补充了最小化权限、代码审查、安全审计和自动化检测等措施。其中三项防护正好与 OkoBot 的攻击方式直接对应（Tapjacking、键盘记录、视频捕获）。

防 Tapjacking 是应对 SeedHunter 伪造界面的移动端方案。在手机上，覆盖攻击即在应用上浮动透明或误导性界面，让用户误以为在操作某项功能，实则授权了其他操作。Tangem App 会在用户交互时主动检测界面是否被遮挡，确保关键区域无隐藏 UI 覆盖，一旦发现覆盖攻击立即拦截。

安全输入处理 则针对键盘记录。自定义键盘常被用于窃取输入内容，App 会在用户输入敏感信息时检测自定义键盘。同时禁用自动填充、拼写检查、密码保存和预测输入，防止这些功能缓存或泄露敏感数据。

禁止截图和屏幕录制 则针对 OkoSpyware 的视频捕获。在显示敏感数据的任何页面，App 都会彻底禁用截图和录屏。OkoSpyware 在 PC 上录制钱包窗口的手法，在手机操作系统层面被直接阻断。

所有这些防护的底层是完整性校验。App 会在运行时自检代码，检测篡改并阻止潜在恶意或未授权版本执行。这属于“运行时应用自我保护”范畴。Tangem 采用了Licel 的 DexProtector，与主流银行和支付 App 同级的嵌入式防护工具，并且是首个通过 EMVCo 认证的安卓和 iOS 软件保护方案。

供应链风险

OkoBot 通过伪造的 GitHub 仓库传播，搜索引擎收录后在常见软件关键词下排名靠前。用户本想找正规工具，却先下载到恶意版本。

OkoBot 还利用了被木马化的依赖库。卡巴斯基追踪到最终有效载荷是一份被捆绑进开源工具的恶意 protobuf.dll，看似与正版库无异，实际解密后会加载真正的插件调度器。

当正规程序加载该库时，也会一同加载恶意代码。这类攻击与多起重大软件供应链事件如出一辙：只要污染了受信任的依赖，所有下游项目都会被连带感染。

我们询问了 Tangem CISO Anton Afanasyev，Tangem 如何防范构建流程中的供应链攻击。

他表示：“我们采取了多重措施。”首先，关键环节尽量减少对外部代码的依赖。“我们对部分核心外部库进行了分支或重写，确保内部维护。”这样一来，内部维护的库不会像公有依赖那样被悄然替换成木马版本。

 

第二层防护是流程规范。“我们有完善的安全开发流程，包括所有依赖的漏洞检测、受控更新窗口、代码审查等。”受控更新窗口尤为关键：依赖不会在新版本发布时自动拉取，这正是被污染包最易趁虚而入的时机。所有更新都需人工审核后引入。

我们还向 Lazutkin 询问了，如果攻击者不是通过依赖库，而是通过官方应用商店利用被盗开发者凭证推送恶意更新，Tangem 如何应对。

他表示，若要实现此类攻击，“攻击者需攻破我们的开发者凭证、绕过 MFA 和内部访问控制、通过发布审核流程、在官方构建中注入恶意代码、通过 Apple 或 Google 审核、伪装成官方身份、避开平台恶意软件检测，并且不被我们团队、监控系统和开源社区发现。”

威胁监测与防御

OkoBot 通过伪造仓库排名和模仿知名品牌获取用户信任。防范此类分发策略需要持续监控。我们询问了 Afanasyev，Tangem 如何识别假应用、假仓库和仿冒钓鱼页面。

他表示：“Tangem 会持续关注安全威胁情报和相关新闻，监测与用户相关的恶意软件家族和攻击活动，这项工作由我直接负责。”在假冒和仿品方面，他补充说：“我们会监控各类资源和非官方 Android 应用商店，包括 GitHub。”

钓鱼下架行动依赖两类线索协同推进。“我们的用户会向我们举报钓鱼网站、假冒社交媒体和即时通讯账号，”Afanasyev 说。第二类线索不便公开。当钓鱼资源被确认后，Tangem 会与相关方协作处理下架。

最后，我们抛出了最尖锐的问题：是否有已知的窃密或间谍软件家族将 Tangem App 纳入监控名单，像 OkoSpyware 针对 MetaMask 和 Tonkeeper 那样？ 

Afanasyev 回答：“目前我们尚未发现此类移动端恶意软件。”他也特别指出了唯一存在的情况：在桌面端，攻击者曾发起过诱导用户下载假“ Tangem Desktop ”应用的活动。“这些只是普通病毒，目的是远程控制受害者电脑。”并非像 SeedHunter 那样专门窃取助记词。由于缺乏目标，攻击者只能退而求其次使用常规远控病毒。

要点总结

SeedHunter 是针对特定设计的精密攻击：桌面钱包应用通过 USB 连接物理设备，并在某个环节向用户显示助记词。

Tangem 完全不具备这三点，所以该框架最复杂的插件面对 Tangem 用户时无从下手。它扫描不到 USB 钱包，等不到桌面进程，也钓不到被写下的助记词。

这一结果正是“去除风险组件、而非叠加防护”的安全理念的直接体现——让最关键的私钥始终封存在芯片内，无需信任任何电脑。

当然，用户依然有自身责任。如果用户将外部助记词导入 Tangem，并保留纸质备份，就重新引入了 SeedHunter 针对的薄弱环节，依然可能被其他渠道钓鱼。

参考资料

• OkoBot：新型复杂恶意软件框架针对加密货币用户 – 卡巴斯基 Securelist，2026年7月
• TookPS：新一波攻击 – 卡巴斯基 Securelist，2025年4月
• OkoBot 恶意软件框架将助记词钓鱼注入 Ledger 与 Trezor 应用 – The Hacker News，2026年7月
• OkoBot 恶意软件针对软硬件加密货币钱包用户 – HackMag
• 为什么 Tangem Wallet 不需要屏幕 – Tangem 博客
• Tangem CTO Andrey Lazutkin 论更简洁的硬件钱包 – Tangem 博客
• Tangem Wallet 如何备份私钥 – Tangem 博客
• OWASP 移动应用安全测试指南（MASTG）
• 运行时应用自我保护（RASP） – 维基百科
• Licel DexProtector – EMVCo 认证软件保护
• DexProtector EMVCo 认证解决方案 – Licel
• Electron 框架 – 官方文档
   

Andrey Lazutkin 为 Tangem 首席技术官，Anton Afanasyev 为 Tangem 首席信息安全官。