Фальшивый TradingView Premium крадет пароли от кошельков

Аноним под ником Cryptotrice, называющий себя блокчейн-разработчиком, несколько раз публиковал в соцсети Х инструкцию по использованию «модифицированной версии TradingView Premium 3.3.0», вышедшей в октябре. Он предлагал скачать защищенный паролем архив, запустить программу и нажать кнопку Generate в генераторе ключей (KeyGen). По словам автора, утилита открывает платные функции: восемь графиков на одной вкладке и до 400 ценовых оповещений. Программу он называл предназначенной «только для образовательных целей».

Один из постов со ссылкой на скачивание набрал более 360 000 просмотров, на него обратили внимание в SlowMist. Специалисты выяснили, что файл содержит вредоносный код. Он забирает сохраненные в браузере логины и пароли, а также данные из Telegram и отправляет их на командный сервер через интерфейс Windows WinINet.

Cryptotrice представлял проект как ПО с открытым исходным кодом и ссылался на репозиторий на GitHub. Эксперты SlowMist обнаружили, что ссылка для скачивания ведет не на GitHub. Когда пользователь спросил, почему репозиторий и Discord-сервер доступны только из самого приложения, автор ответил, что репозиторий стал приватным, а ссылки внутри программы перестают работать после первого использования.

Число пострадавших и сумму украденных средств в SlowMist не назвали. Тем, кто мог скачать программу, советуют отключить зараженное устройство от сети и как можно скорее перевести криптоактивы на новый кошелек с другой сид-фразой. Кроме того, нужно сменить пароли от криптобирж, браузеров, почты и Telegram и завершить все активные сеансы в мессенджере.

«Взломанное программное обеспечение, генераторы ключей (KeyGens) и архивы, защищенные паролем — частые способы распространения вредоносных программ для кражи данных. Не устанавливайте их», — предостерегают в SlowMist.

На прошлой неделе SlowMist рассказала о вредоносной программе DarkSword. Она извлекает с iPhone пароли от криптокошельков и фразы для восстановления доступа, если владелец заходит на скомпрометированные сайты. В октябре аналитики Symantec Threat Hunter нашли новую версию инфостилера Aoki (Aokigahara), который крадет файлы сессий ИИ-ассистентов, cookie и данные криптокошельков.