보안 연구 기업 SlowMist는 소셜 플랫폼 X에서 홍보되고 있는 악성 '크랙' 버전 TradingView Premium에 대해 경고를 발령했습니다. 10월 중순부터 시작된 이 캠페인은 'cryptotrice' 핸들을 사용해 Needle Stealer 인포스틸러를 내장한 PowerShell 기반 설치 프로그램을 배포합니다. 이 프로그램은 암호화폐 지갑을 탈취하고 텔레그램 계정을 해킹할 수 있는 기능을 갖추고 있습니다.

위조 프리미엄의 유포 방식

SlowMist에 따르면, 이 사기성 설치 프로그램은 TradingView 유료 서비스의 무료 또는 할인 업그레이드로 광고됩니다. 피해자에게는 플랫폼의 '개발자 버전'을 다운로드하는 것처럼 보이는 PowerShell 명령어를 실행하도록 지시됩니다. 실제로는 이 스크립트가 Microsoft 서명된 바이너리를 사용해 Windows SmartScreen을 우회할 수 있는 Go 언어 기반 데이터 탈취 도구인 Needle Stealer를 다운로드합니다. 이는 Malwarebytes와 HP의 보고에 근거합니다.

Needle Stealer의 기능

해당 멀웨어는 브라우저 히스토리, 쿠키, 저장된 로그인 정보, 그리고 Ledger, Trezor, Exodus 등 인기 있는 데스크톱 지갑의 시드 문구를 수집합니다. 또한 MetaMask, Coinbase Wallet, Phantom과 같은 브라우저 확장 프로그램 정보도 탈취합니다. 텔레그램 인증 정보도 캡처하며, 정당한 지갑 확장 프로그램을 악성 사본으로 교체할 수 있습니다. 가짜 잠금 해제 화면에서 입력된 모든 비밀번호를 기록하여 공격자가 피해자의 암호화폐 자산에 대한 완전한 제어권을 갖게 합니다.

배경 및 광범위한 위협 환경

TradingView는 1년 이상 '크랙' 버전에 대해 사용자에게 경고해 왔으며, 회사가 이러한 소프트웨어를 배포하지 않는다고 명시했습니다. 이전 사기 사례에는 사용자가 악성 다운로드 사이트로 리디렉션되는 가짜 YouTube 채널이 포함되었습니다. Bitdefender가 추적한 최근 광고 캠페인은 Facebook과 Google 광고에서 TradingClaw와 같은 가짜 AI 도구 홍보로 이동했으며, 이 사이트에도 Needle Stealer가 번들되어 있었습니다. Flashpoint 데이터에 따르면 2026년 상반기 인포스틸러 감염률이 27% 증가했으며, 740만 대의 기기가 침해되고 17억 건의 인증 정보가 탈취되었습니다.

향후 주목할 점

보안 연구원들은 공격자들이 배포 체인을 진화시켜 더 많은 소셜 플랫폼과 심층 피싱 캠페인을 활용할 것으로 예상합니다. 사용자는 공식 TradingView 통신을 모니터링하고, 다운로드 출처를 확인하며, 강력한 패스프레이즈 보호 기능이 있는 하드웨어 지갑을 사용하는 것이 좋습니다. SlowMist와 다른 기업들은 새로운 방어 조치에 적응하는 관련 멀웨어 변종을 계속 추적할 가능성이 높습니다.

출처

이 기사는 COINMAG 뉴스룸이 위 보고서들을 바탕으로 작성했습니다.