Специалисты по блокчейн-безопасности из компании SlowMist обнаружили программу-инфостилер. Она распространяется под видом взломанной версии платного тарифного плана платформы анализа рынков TradingView Premium и похищает конфиденциальные данные пользователей, включая пароли от криптокошельков.
Создатели вредоносной программы обещают пользователям бесплатный доступ к платным функциям построения графиков.
В соцсети Х аноним под ником Cryptotrice, который называет себя блокчейн-разработчиком, неоднократно публиковал инструкцию по использованию «модифицированной версии TradingView Premium 3.3.0», выпущенной в октябре. Он предлагал читателям скачать защищённый паролем архив, запустить программу и нажать кнопку Generate в окне генератора ключей (KeyGen — утилиты для создания лицензионных ключей).
По словам автора инструкции, программа открывает доступ к платным функциям — например, к отображению восьми графиков на одной вкладке и установке до 400 ценовых оповещений. Аноним утверждал, что программа предназначена «только для образовательных целей». Один из постов Cryptotrice со ссылкой на скачивание замаскированного стилера набрал более 360 000 просмотров — это заметили в SlowMist.
Эксперты по безопасности выяснили, что скачиваемый файл — это вредоносная программа. Она собирает сохранённые в браузере логины и пароли, а также информацию из Телеграма. Данные отправляются на командный сервер через интерфейс Windows WinINet, сообщили представители SlowMist.
Cryptotrice позиционировал проект как ПО с открытым исходным кодом и ссылался на репозиторий GitHub. Однако эксперты SlowMist выяснили, что ссылка для скачивания ведёт не на GitHub. Когда один из пользователей спросил, почему репозиторий и Discord‑сервер доступны только через само приложение, Cryptotrice заявил, что репозиторий стал приватным, а ссылки внутри программы перестают работать после первого использования.
SlowMist не сообщили, сколько человек пострадали и какая сумма средств была украдена. Тем, кто мог загрузить программу, советуют отключить заражённое устройство от сети и как можно скорее перевести криптоактивы на новый кошелёк с другой сид‑фразой. Также рекомендуется сменить пароли от криптобирж, браузеров, электронной почты и аккаунтов в Телеграме и завершить все активные сеансы в мессенджере.
Специалисты SlowMist предостерегают: взломанное ПО, генераторы ключей (KeyGens) и архивы, защищённые паролем, — частые способы распространения вредоносных программ для кражи данных. Они призывают не устанавливать такие программы.
На прошлой неделе SlowMist рассказала о заражённой программе DarkSword. Она способна извлекать пароли от криптокошельков и фразы для восстановления доступа с iPhone — при условии, что владелец устройства посещает скомпрометированные веб‑сайты.
В октябре аналитики Symantec Threat Hunter обнаружили новую версию инфостилера Aoki (Aokigahara). Программа крадёт файлы сессий ИИ‑ассистентов, файлы cookie и данные криптокошельков.