Исследовательская компания в области кибербезопасности SlowMist выпустила предупреждение о вредоносной «взломанной» версии TradingView Premium, которая продвигается в социальной сети X. Кампания, начавшаяся в середине октября, использует аккаунт «cryptotrice» для распространения установщика на базе PowerShell, встраивающего инфостилер Needle Stealer — программу, способную опустошать криптокошельки и перехватывать аккаунты Telegram.

Как доставляется поддельная премиум-версия

По данным SlowMist, мошеннический установщик рекламируется как бесплатное или скидочное обновление платного сервиса TradingView. Жертвам предлагается выполнить команду PowerShell, которая якобы загружает «разработчикскую версию» платформы. На самом деле скрипт загружает Needle Stealer — инструмент для кражи данных, написанный на Go, который может обходить Windows SmartScreen, используя бинарный файл с подписью Microsoft, как сообщают Malwarebytes и HP.

Возможности Needle Stealer

Вредоносное ПО собирает историю браузера, файлы cookie, сохранённые логины и сид-фразы из популярных настольных кошельков, таких как Ledger, Trezor и Exodus, а также из браузерных расширений, включая MetaMask, Coinbase Wallet и Phantom. Оно также перехватывает учётные данные Telegram и может заменять легитимные расширения кошельков на вредоносные копии. Программа фиксирует любой пароль, введённый на поддельном экране разблокировки, что даёт злоумышленникам полный контроль над криптоактивами жертвы.

Контекст и общая обстановка с угрозами

TradingView предупреждает пользователей о «взломанных» версиях более года, отмечая, что компания никогда не распространяет такое ПО. Ранее мошеннические схемы включали поддельные каналы YouTube, которые перенаправляли пользователей на вредоносные загрузки. Недавняя рекламная кампания, отслеженная Bitdefender, перешла от рекламы в Facebook и Google к продвижению поддельных ИИ-инструментов, таких как сайт TradingClaw, который также содержал Needle Stealer. Данные Flashpoint показывают, что количество заражений инфостилерами выросло на 27% в первой половине 2026 года, при этом было скомпрометировано 7,4 миллиона устройств и украдено 1,7 миллиарда учётных данных.

Что наблюдать дальше

Исследователи в области безопасности ожидают, что злоумышленники будут эволюционировать цепочку распространения, потенциально используя больше социальных платформ и более глубокие фишинговые кампании. Пользователям следует отслеживать официальные сообщения TradingView, проверять источники загрузок и использовать аппаратные кошельки с надёжной защитой по фразе-паролю. SlowMist и другие компании, вероятно, продолжат отслеживать связанные варианты вредоносного ПО по мере их адаптации к новым мерам защиты.