SlowMist advierte de un infostealer disfrazado de TradingView Premium pirateado
La firma de seguridad SlowMist señaló una versión pirateada de TradingView Premium, promocionada en X desde mediados de octubre, como malware para Windows que recopila credenciales de navegador, datos de billeteras de criptomonedas e información de Telegram. La compañía no ha confirmado robos ni un número de víctimas, y su análisis de macOS sigue incompleto.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
Lo que encontró SlowMist
La firma de seguridad SlowMist afirma que una versión pirateada de TradingView Premium, promocionada en X desde mediados de octubre, es un infostealer para Windows. Según la alerta de SlowMist, la muestra recopila credenciales de acceso a navegadores, datos de billeteras de criptomonedas e información de Telegram, y luego los envía a un servidor de comando y control a través de la interfaz WinINet de Windows. El resumen de The Defiant sobre la misma alerta añade que la muestra usa Telegram y Steam para obtener y rotar esos servidores de comando.
El gancho era el acceso gratuito a funciones de gráficos de pago. Una publicación que promovía la descarga superó las 360.000 visualizaciones, según CryptoPotato. El promotor, que en X se identifica como el desarrollador on-chain Cryptotrice, describió una versión sometida a ingeniería inversa, la 3.3.0, e indicó a los usuarios que ejecutaran un archivo protegido con contraseña y que hicieran clic en "generate" en una ventana de KeyGen, una herramienta que genera claves de licencia.
Distribución y engaño
El promotor presentó el proyecto como código abierto y remitió a los usuarios a un repositorio de GitHub. SlowMist comprobó que el enlace de descarga en las publicaciones promocionales no llevaba a GitHub. Cuando un seguidor preguntó por qué el repositorio y Discord solo eran accesibles desde la aplicación local, el promotor dijo que el repositorio había pasado a ser privado y que los enlaces dentro de la aplicación caducaban tras un uso.
SlowMist indicó que el sitio de descarga, arche-hypnose[.]com, parece ser un sitio web legítimo que fue comprometido para alojar el archivo malicioso. En una respuesta a un usuario que preguntaba si el programa era seguro, el promotor, a través de Grok, afirmó que era más seguro que el TradingView oficial porque nunca salían credenciales del sistema. Esa afirmación queda contradicha por el análisis de SlowMist sobre la muestra.
Alcance y preguntas abiertas
Las fuentes difieren en cuanto a lo que se sabe sobre el daño causado. CryptoPotato informa de los hallazgos de SlowMist sin un número de víctimas, y The Defiant afirma sin rodeos que la alerta no confirma robos. Ninguna de las dos fuentes ofrece una cifra de cuántos equipos ejecutaron el software.
La versión para macOS no está verificada. SlowMist indicó que el enlace de macOS devolvió un error 404 en el momento de su análisis, por lo que no pudo obtener una muestra y no puede confirmar si esa versión contiene el mismo malware.
Respuesta recomendada para los usuarios afectados
SlowMist aconseja a quien haya ejecutado el programa que desconecte el equipo de la red y traslade sus activos a un dispositivo limpio con una nueva billetera y una nueva frase semilla. Los usuarios también deben cambiar las contraseñas de exchanges, navegadores, correo electrónico y Telegram, y cerrar las sesiones activas de Telegram. La advertencia general de la firma va más allá de este caso: "El software pirateado, los KeyGens y los archivos protegidos con contraseña están entre las formas más comunes de distribución de infostealers. No los instales."
Advertencia relacionada
La semana pasada SlowMist emitió una alerta distinta sobre DarkSword, un exploit que, según la firma, podía extraer archivos de billeteras y frases de recuperación de iPhones que visitaron sitios web comprometidos. Ambas advertencias apuntan al mismo patrón: atacantes que buscan credenciales de billeteras a través de software de consumo y de la navegación web.
Por qué importa
Para los traders
Cualquier trader que haya instalado una versión pirateada de TradingView debe considerar expuestas sus credenciales de exchanges y billeteras y renovarlas de inmediato.
Para los inversores
Las campañas repetidas de infostealers dirigidas a datos de billeteras elevan el riesgo continuo de custodia y de seguridad operativa en todo el sector, no solo para los usuarios individuales.
Para los desarrolladores
Los desarrolladores de billeteras y exchanges deben esperar que sus usuarios sean atacados a través de software de terceros comprometido, por lo que las frases semilla y los tokens de sesión necesitan protección más allá de los límites de la aplicación.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
