SlowMist waarschuwt voor infostealer vermomd als gekraakte TradingView Premium
Beveiligingsbedrijf SlowMist waarschuwt voor een gekraakte versie van TradingView Premium, die sinds half oktober op X wordt aangeprezen en die volgens het bedrijf Windows-malware is die browserlogins, walletgegevens en Telegram-informatie verzamelt. Het bedrijf heeft geen diefstallen of aantal slachtoffers bevestigd, en de macOS-analyse is nog niet afgerond.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
Wat SlowMist vond
Beveiligingsbedrijf SlowMist stelt dat een gekraakte versie van TradingView Premium, die sinds half oktober op X wordt aangeprezen, een infostealer voor Windows is. Volgens de waarschuwing van SlowMist verzamelt het monster inloggegevens van browsers, gegevens van cryptovalutawallets en Telegram-informatie, en stuurt deze via de WinINet-interface van Windows naar een command-and-controlserver. De samenvatting van The Defiant over dezelfde waarschuwing voegt toe dat het monster Telegram en Steam gebruikt om deze command-servers op te halen en te roteren.
De lokmiddel was gratis toegang tot betaalde charting-functies. Eén bericht dat de download promootte, haalde volgens CryptoPotato meer dan 360.000 weergaven. De promotor, die op X zichzelf identificeert als on-chain ontwikkelaar genaamd Cryptotrice, beschreef een reverse-engineered build, versie 3.3.0, en instrueerde gebruikers om een met wachtwoord beveiligd archief uit te voeren en in een KeyGen-venster op "generate" te klikken, een hulpmiddel dat licentiesleutels genereert.
Verspreiding en misleiding
De promotor presenteerde het project als open source en verwees gebruikers naar een GitHub-repository. SlowMist ontdekte dat de downloadlink in de promotieberichten niet naar GitHub leidde. Toen een volger vroeg waarom de repository en Discord alleen via de lokale applicatie bereikbaar waren, zei de promotor dat de repository privé was geworden en dat in-app-links na één keer gebruik verliepen.
SlowMist zei dat de downloadsite, arche-hypnose[.]com, een legitieme website lijkt te zijn die is gecompromitteerd om het kwaadaardige bestand te hosten. In een antwoord op een gebruiker die vroeg of het programma veilig was, beweerde de promotor, via Grok, dat het veiliger was dan de officiële TradingView omdat er nooit inloggegevens het systeem verlieten. Die bewering wordt tegengesproken door de analyse van het monster door SlowMist.
Omvang en open vragen
De bronnen verschillen over hoeveel bekend is over de schade. CryptoPotato rapporteert de bevindingen van SlowMist zonder aantal slachtoffers, en The Defiant stelt duidelijk dat de waarschuwing geen diefstallen bevestigt. Geen van beide bronnen meldt een cijfer voor het aantal machines waarop de software draaide.
De macOS-versie is niet geverifieerd. SlowMist zei dat de macOS-link ten tijde van de analyse een 404-fout gaf, waardoor het geen monster kon verkrijgen en niet kan bevestigen of die build dezelfde malware bevat.
Aanbevolen reactie voor getroffen gebruikers
SlowMist adviseert iedereen die het programma heeft gedraaid, het apparaat los te koppelen van het netwerk en activa over te zetten naar een schoon apparaat met een nieuwe wallet en seed phrase. Gebruikers moeten ook wachtwoorden wijzigen voor exchanges, browsers, e-mail en Telegram, en actieve Telegram-sessies beëindigen. De algemene waarschuwing van het bedrijf geldt ook buiten dit geval: "Gekraakte software, KeyGens en met wachtwoord beveiligde archieven behoren tot de meest gebruikelijke manieren waarop infostealers worden verspreid. Installeer ze niet."
Gerelateerde waarschuwing
Vorige week gaf SlowMist een afzonderlijke waarschuwing uit over DarkSword, een exploit waarmee volgens het bedrijf walletbestanden en herstelzinnen van iPhones kunnen worden gehaald die gecompromitteerde websites hadden bezocht. De twee waarschuwingen wijzen op hetzelfde patroon: aanvallers die walletgegevens viseren via consumentensoftware en browsen.
Waarom het ertoe doet
Voor traders
Elke trader die een gekraakte TradingView-build heeft geïnstalleerd, moet de inloggegevens van zijn exchange en wallet als blootgesteld beschouwen en die nu wijzigen.
Voor beleggers
Herhaalde infostealer-campagnes die walletgegevens viseren, vergroten het voortdurende risico op bewaring en operationele beveiliging in de sector, niet alleen voor individuele gebruikers.
Voor bouwers
Ontwikkelaars van wallets en exchanges moeten rekening houden met gebruikers die via gecompromitteerde software van derden worden aangevallen, dus seed phrases en sessietokens moeten ook buiten de grenzen van de app worden beschermd.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
