Компания SlowMist обнаружила опасный вирус-шпион, маскирующийся под бесплатный доступ к платным функциям TradingView. Вредонос крадёт пароли браузеров, данные кошельков и информацию из Telegram, отправляя их на управляемый хакерами сервер. Поддельное программное обеспечение с середины октября активно продвигалось в X — одна из рекламных публикаций собрала более 360 тысяч просмотров.
Как работает мошенничество
Пользователь с ником Cryptotrice распространял в соцсети инструкцию по загрузке якобы переконструированного TradingView Premium версии 3.3.0. Схема проста: скачать защищённый паролем архив, запустить программу и нажать «generate» в окне KeyGen, чтобы получить лицензионный ключ. Авторы вредоноса позиционировали это как «образовательный проект» и обещали доступ к платным функциям вроде 8 графиков на вкладку и 400 ценовых уведомлений.
Криптозлоумышленник утверждал, что исходный код находится на GitHub и проект с открытым кодом. Однако при проверке выяснилось: ссылка для скачивания из рекламных постов не вела на GitHub. Когда пользователи спрашивали, почему репозиторий и Discord доступны только через приложение, Cryptotrice объяснял, что хранилище перешло в приватный режим, а ссылки в приложении работают только один раз.
Что вирус на самом деле делает
Анализ SlowMist показал, что программа собирает учётные данные браузеров, информацию о кошельках, сведения из Telegram и отправляет всё через интерфейс Windows WinINet на контролируемый сервер. Вирус использует Telegram и Steam для получения и смены адресов своих серверов управления. Сайт для скачивания arche-hypnose[.]com — это изначально легитный веб-ресурс, который был взломан для распространения вредоноса.
Версию для macOS SlowMist проверить не смогла — ссылка на неё уже возвращала ошибку 404. Заметно, что сам Cryptotrice, когда его спросили, безопасна ли программа, ответил, что скачанное ПО безопаснее официального TradingView, потому что «никакие учётные данные — email, пароли и прочее — никогда не покидают вашу систему». На деле — прямое противоположное.
Что делать, если вы уже запустили программу
SlowMist рекомендует немедленно отключить заражённый компьютер от сети и перевести все активы на чистый аппарат с новым кошельком и seed-фразой. Необходимо изменить пароли для криптобирж, браузеров, почты и Telegram, включая закрытие всех активных сессий мессенджера.
«Взломанное программное обеспечение, KeyGen-генераторы и защищённые паролем архивы — это самые частые способы распространения вирусов-шпионов. Не устанавливайте их», — предупредила компания.
На этой неделе SlowMist уже выпустила другое предупреждение о вирусе DarkSword для iPhone, который крадёт файлы кошельков и фразы восстановления при посещении поддельных веб-сайтов.