A empresa de pesquisa de segurança SlowMist emitiu um alerta sobre uma versão “crackeada” maliciosa do TradingView Premium que está sendo promovida na rede social X. A campanha, iniciada em meados de outubro, usa o perfil “cryptotrice” para distribuir um instalador baseado em PowerShell que incorpora o infostealer Needle Stealer, um programa capaz de drenar carteiras de criptomoedas e sequestrar contas do Telegram.

Como o premium falso é entregue

Segundo a SlowMist, o instalador fraudulento é anunciado como um upgrade gratuito ou com desconto para o serviço pago do TradingView. As vítimas são instruídas a executar um comando PowerShell que parece baixar a “versão desenvolvedor” da plataforma. Na prática, o script baixa o Needle Stealer, uma ferramenta de roubo de dados escrita em Go que pode contornar o Windows SmartScreen usando um binário assinado pela Microsoft, conforme relatado pela Malwarebytes e HP.

Capacidades do Needle Stealer

O malware coleta histórico de navegação, cookies, logins salvos e seed phrases de carteiras desktop populares como Ledger, Trezor e Exodus, além de extensões de navegador como MetaMask, Coinbase Wallet e Phantom. Também captura credenciais do Telegram e pode substituir extensões de carteira legítimas por cópias maliciosas. O programa registra qualquer senha inserida em uma tela de desbloqueio falsa, dando aos atacantes controle total sobre os ativos cripto da vítima.

Contexto e panorama de ameaças mais amplo

O TradingView alerta usuários sobre versões “crackeadas” há mais de um ano, afirmando que a empresa nunca distribui esse tipo de software. Fraudes anteriores envolveram canais falsos no YouTube que redirecionavam usuários para downloads maliciosos. Uma recente campanha publicitária rastreada pela Bitdefender migrou de anúncios no Facebook e Google para promover ferramentas de IA falsas, como o site TradingClaw, que também continha o Needle Stealer. Dados da Flashpoint mostram que infostealers aumentaram 27 % no primeiro semestre de 2026, com 7,4 milhões de dispositivos comprometidos e 1,7 bilhão de credenciais roubadas.

O que observar a seguir

Pesquisadores de segurança esperam que os atacantes evoluam a cadeia de distribuição, possivelmente usando mais redes sociais e campanhas de phishing mais sofisticadas. Usuários devem monitorar comunicações oficiais do TradingView, verificar fontes de download e usar carteiras de hardware com proteção por frase‑senha forte. SlowMist e outras empresas provavelmente continuarão rastreando variantes relacionadas de malware à medida que se adaptam a novas medidas defensivas.

Fontes

  • Cryptopolitan: