Дослідницька компанія у сфері безпеки SlowMist випустила попередження про шкідливу «зламану» версію TradingView Premium, яку просувають у соціальній мережі X. Кампанія, що розпочалася в середині жовтня, використовує псевдонім «cryptotrice» для розповсюдження інсталятору на PowerShell, який вбудовує інфостілер Needle Stealer – програму, здатну спустошити криптогаманці та захопити акаунти Telegram.

Як доставляється підроблене преміум

За даними SlowMist, шахрайський інсталятор рекламується як безкоштовне або зі знижкою оновлення до платної послуги TradingView. Жертвам пропонується виконати команду PowerShell, яка, здається, завантажує «версію розробника» платформи. Насправді скрипт завантажує Needle Stealer, інструмент на Go, який може обійти Windows SmartScreen, використовуючи підписаний Microsoft‑ом бінарний файл, про що повідомляють Malwarebytes та HP.

Можливості Needle Stealer

Шкідливе ПЗ збирає історію браузера, куки, збережені логіни та seed‑фрази з популярних десктоп‑гаманців, таких як Ledger, Trezor і Exodus, а також розширень браузера, включаючи MetaMask, Coinbase Wallet і Phantom. Воно також захоплює дані Telegram і може заміняти легітимні розширення гаманців на шкідливі копії. Програма записує будь‑які паролі, введені на підробленому екрані розблокування, надаючи зловмисникам повний контроль над криптоактивами жертви.

Контекст і ширша картина загроз

TradingView вже понад рік попереджає користувачів про «зламані» версії, зазначаючи, що компанія ніколи не розповсюджує таке ПЗ. Раніше шахраї використовували підроблені канали YouTube, які перенаправляли користувачів до шкідливих завантажень. Остання рекламна кампанія, відстежена Bitdefender, перейшла від реклами у Facebook і Google до просування підроблених AI‑інструментів, зокрема сайту TradingClaw, який також вбудовував Needle Stealer. Дані Flashpoint показують, що інфостілер‑інфекції зросли на 27 % у першій половині 2026 р., уражено 7,4 млн пристроїв і викрадено 1,7 млрд облікових даних.

Що слід очікувати далі

Дослідники безпеки очікують, що зловмисники удосконалюватимуть ланцюжок розповсюдження, можливо, залучаючи більше соціальних платформ і глибші фішингові кампанії. Користувачам слід стежити за офіційними повідомленнями TradingView, перевіряти джерела завантажень і користуватися апаратними гаманцями з надійним захистом паролем. SlowMist та інші компанії, ймовірно, продовжать відстежувати пов’язані варіанти шкідливого ПЗ, які адаптуються до нових захисних заходів.

Джерела