SlowMist warnt vor Infostealer, der sich als gecrackte TradingView-Premium-Version tarnt
Die Sicherheitsfirma SlowMist hat einen gecrackten TradingView-Premium-Build markiert, der seit Mitte Oktober auf X beworben wird und sich als Windows-Malware entpuppt, die Browser-Logins, Krypto-Wallet-Daten und Telegram-Informationen abgreift. Das Unternehmen hat weder Diebstähle noch eine Zahl betroffener Opfer bestätigt, und die Analyse der macOS-Version ist noch unvollständig.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Was SlowMist herausgefunden hat
Die Sicherheitsfirma SlowMist erklärt, dass es sich bei einer gecrackten Version von TradingView Premium, die seit Mitte Oktober auf X beworben wird, um einen Windows-Infostealer handelt. Laut der Warnmeldung von SlowMist sammelt das Muster Browser-Login-Daten, Daten von Kryptowährungs-Wallets und Telegram-Informationen und überträgt sie über die WinINet-Schnittstelle von Windows an einen Command-and-Control-Server. Die Zusammenfassung derselben Warnung durch The Defiant ergänzt, dass das Muster Telegram und Steam nutzt, um diese Command-Server abzurufen und zu wechseln.
Der Köder war kostenloser Zugang zu kostenpflichtigen Chart-Funktionen. Ein Beitrag, der den Download bewarb, erreichte laut CryptoPotato mehr als 360.000 Aufrufe. Der Promoter, der sich auf X als On-Chain-Entwickler namens Cryptotrice ausgibt, beschrieb einen reverse-engineerten Build, Version 3.3.0, und wies Nutzer an, ein passwortgeschütztes Archiv auszuführen und im KeyGen-Fenster auf „generate“ zu klicken, ein Werkzeug, das Lizenzschlüssel erzeugt.
Verbreitung und Täuschung
Der Promoter stellte das Projekt als Open Source dar und verwies Nutzer auf ein GitHub-Repository. SlowMist stellte fest, dass der Download-Link in den Werbebeiträgen nicht zu GitHub führte. Als ein Follower fragte, warum das Repository und Discord nur über die lokale Anwendung erreichbar seien, erklärte der Promoter, das Repository sei auf privat gestellt worden und In-App-Links verfielen nach einmaliger Nutzung.
SlowMist teilte mit, die Download-Seite arche-hypnose[.]com scheine eine legitime Website zu sein, die kompromittiert wurde, um die schädliche Datei zu hosten. In einer Antwort auf die Frage eines Nutzers, ob das Programm sicher sei, behauptete der Promoter über Grok, es sei sicherer als das offizielle TradingView, da niemals Zugangsdaten das System verließen. Diese Behauptung wird durch die Analyse des Musters von SlowMist widerlegt.
Umfang und offene Fragen
Die Quellen unterscheiden sich darin, wie viel über den Schaden bekannt ist. CryptoPotato berichtet über die Ergebnisse von SlowMist ohne Angabe einer Zahl betroffener Opfer, und The Defiant hält ausdrücklich fest, dass die Warnung keine Diebstähle bestätigt. Keine der Quellen nennt eine Zahl dazu, auf wie vielen Rechnern die Software lief.
Die macOS-Version ist nicht verifiziert. SlowMist erklärte, der macOS-Link habe zum Zeitpunkt der Analyse einen 404-Fehler zurückgegeben, sodass das Unternehmen kein Muster erlangen konnte und nicht bestätigen kann, ob diese Version dieselbe Malware enthält.
Empfohlenes Vorgehen für betroffene Nutzer
SlowMist rät allen, die das Programm ausgeführt haben, das Gerät vom Netzwerk zu trennen und Vermögenswerte auf ein sauberes Gerät mit neuer Wallet und neuer Seed-Phrase zu übertragen. Nutzer sollten außerdem Passwörter für Börsen, Browser, E-Mail und Telegram ändern und aktive Telegram-Sitzungen beenden. Die allgemeine Warnung des Unternehmens gilt über diesen Fall hinaus: „Gecrackte Software, KeyGens und passwortgeschützte Archive gehören zu den häufigsten Verbreitungswegen für Infostealer. Installieren Sie sie nicht.“
Weitere Warnung
Vergangene Woche gab SlowMist eine separate Warnung zu DarkSword heraus, einem Exploit, mit dem laut Unternehmen Wallet-Dateien und Wiederherstellungsphrasen von iPhones abgegriffen werden könnten, die kompromittierte Websites besucht haben. Beide Warnungen zeigen dasselbe Muster: Angreifer zielen über Verbraucher-Software und Browsing auf Wallet-Zugangsdaten ab.
Warum das wichtig ist
Für Trader
Jeder Trader, der einen gecrackten TradingView-Build installiert hat, sollte seine Börsen- und Wallet-Zugangsdaten als offengelegt betrachten und sie jetzt erneuern.
Für Investoren
Wiederholte Infostealer-Kampagnen, die es auf Wallet-Daten abgesehen haben, erhöhen das anhaltende Verwahrungs- und Betriebssicherheitsrisiko in der gesamten Branche, nicht nur für einzelne Nutzer.
Für Entwickler
Wallet- und Börsenentwickler sollten damit rechnen, dass Nutzer über kompromittierte Drittanbieter-Software angegriffen werden. Seed-Phrasen und Session-Token brauchen daher Schutz über die Grenzen der App hinaus.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
