Das Sicherheitsforschungsinstitut SlowMist hat vor einer bösartigen, „gecrackten“ Version von TradingView Premium gewarnt, die auf der Social-Media-Plattform X beworben wird. Die Kampagne, die Mitte Oktober begann, nutzt den Handle „cryptotrice“, um einen PowerShell-basierten Installer zu verteilen, der den Needle Stealer Infostealer einbettet – ein Programm, das in der Lage ist, Krypto-Wallets zu leeren und Telegram-Konten zu übernehmen.

Wie das gefälschte Premium ausgeliefert wird

Laut SlowMist wird der betrügerische Installer als kostenlose oder rabattierte Upgrade-Option für den kostenpflichtigen TradingView-Dienst beworben. Opfern wird mitgeteilt, einen PowerShell-Befehl auszuführen, der scheinbar die „Entwicklerversion“ der Plattform herunterlädt. In Wirklichkeit lädt das Skript den Needle Stealer herunter, ein in Go geschriebenes Daten-Diebstahl-Tool, das Windows SmartScreen umgehen kann, indem es ein von Microsoft signiertes Binary verwendet, wie von Malwarebytes und HP berichtet.

Fähigkeiten des Needle Stealer

Die Malware erbeutet Browserverlauf, Cookies, gespeicherte Logins und Seed Phrases von beliebten Desktop-Wallets wie Ledger, Trezor und Exodus sowie Browser-Erweiterungen wie MetaMask, Coinbase Wallet und Phantom. Sie erfasst auch Telegram-Zugangsdaten und kann legitime Wallet-Erweiterungen durch bösartige Kopien ersetzen. Das Programm protokolliert jedes auf einer gefälschten Entsperrungsbildschirms eingegebene Passwort, was Angreifern die volle Kontrolle über die Krypto-Assets des Opfers gibt.

Hintergrund und Bedrohungslandschaft

TradingView hat seit über einem Jahr vor „gecrackten“ Versionen gewarnt und darauf hingewiesen, dass das Unternehmen eine solche Software nie verteilt. Frühere Betrugsmaschen umfassten gefälschte YouTube-Kanäle, die Nutzer zu bösartigen Downloads umleiteten. Eine kürzlich von Bitdefender verfolgte Werbekampagne verlagerte sich von Facebook- und Google-Anzeigen auf die Bewerbung gefälschter KI-Tools, wie einer Website namens TradingClaw, die ebenfalls den Needle Stealer bündelte. Daten von Flashpoint zeigen, dass Infostealer-Infektionen im ersten Halbjahr 2026 um 27 % stiegen, wobei 7,4 Millionen Geräte kompromittiert und 1,7 Milliarden Zugangsdaten gestohlen wurden.

Was als Nächstes zu erwarten ist

Sicherheitsforscher erwarten, dass die Angreifer die Verteilungskette weiterentwickeln, möglicherweise unter Nutzung weiterer Social-Media-Plattformen und tiefergehender Phishing-Kampagnen. Nutzer sollten offizielle TradingView-Kommunikationen im Auge behalten, Download-Quellen verifizieren und Hardware-Wallets mit starker Passphrase-Sicherung einsetzen. SlowMist und andere Unternehmen werden voraussichtlich weiterhin verwandte Malware-Varianten verfolgen, während diese sich an neue Verteidigungsmaßnahmen anpassen.