Компания SlowMist предупредила о вредоносной кампании, маскирующейся под «взломанную» версию TradingView Premium. С середины октября в соцсети X аккаунт под псевдонимом cryptotrice продвигал якобы reverse-engineered сборку версии 3.3.0, обещая бесплатный доступ к платным функциям — до восьми графиков на вкладку и 400 ценовых алертов. Один из постов набрал более 360 тыс. просмотров.
Пользователям предлагалось скачать защищённый паролем архив, запустить исполняемый файл и нажать кнопку «Generate» в окне KeyGen. Однако, по данным SlowMist, эта программа оказалась инфостилером: она собирает данные для входа из браузеров, информацию криптовалютных кошельков и Telegram, после чего отправляет их на командно-контрольный сервер через интерфейс WinINet. Вредонос использует Telegram и Steam для получения и ротации C2-серверов, а загрузочный сайт arche-hypnose[.]com, судя по всему, был легитимным ресурсом, скомпрометированным для распространения зловреда.
SlowMist отметила, что подобные схемы работают уже около 18 месяцев и нацелены на кражу приватных ключей, браузерных логинов и активных сессий мессенджеров. Промоутер заявлял, что проект является open source, однако ссылка в публикациях не вела на GitHub. На вопрос о безопасности он утверждал, что продукт «безопаснее официального TradingView», поскольку учётные данные якобы не покидают систему; SlowMist это опровергла. macOS-версию на момент анализа получить не удалось — ссылка возвращала ошибку 404, поэтому подтвердить заражение macOS-сборки компания не смогла.
TradingView ранее неоднократно предупреждала о мошенниках, распространяющих «крякнутые» версии терминала. В 2025 году фейковые YouTube-каналы направляли пользователей на скачивание «developer version», которое на деле выполняло PowerShell-команду для установки трояна удалённого доступа и опустошало кошельки. Компания подчёркивает, что никогда не просит запускать скрипты командной строки для установки своего ПО.
По данным Bitdefender, кампания с фальшивым TradingView Premium начиналась с рекламы в Facebook Ads, затем распространилась на Google Ads и YouTube. К 2026 году те же группы переключились на продажу поддельных ИИ-инструментов. Malwarebytes обнаружила сайт TradingClaw, который рекламировался как ИИ-помощник для TradingView, но устанавливал Needle Stealer — стилер, написанный на Go. HP, в свою очередь, нашла фейковый ИИ-криптотрейдинговый инструмент на tradingclaw[.]pro: он был подписан сертификатом Microsoft и обходил Windows SmartScreen. После заражения вредонос подменял браузерное расширение кошелька вредоносной копией. Needle Stealer собирает историю браузера, cookies, сохранённые логины и данные Telegram, атакует десктопные кошельки Ledger, Trezor и Exodus, а также браузерные MetaMask, Coinbase Wallet и Phantom, пытаясь украсть seed-фразы и пароли из фейкового экрана разблокировки.
Аналитики Flashpoint подсчитали, что в первом полугодии 2026 года инфостилеры поразили 7,4 млн устройств — на 27% больше, чем за предыдущие шесть месяцев. Украдено 1,7 млрд учётных данных. Самым распространённым вариантом стал Vidar, обогнавший StealC и Lumma; до мая 2025 года лидировал Lumma, но после правоохранительной операции были изъяты около 2300 командно-контрольных доменов. Flashpoint также отмечает, что Telegram стал каналом распространения подобных инструментов и одновременно целью самих стилеров.
SlowMist рекомендует всем, кто мог запустить заражённую программу, немедленно отключить устройство от сети, перевести активы на чистое устройство с новым кошельком и seed-фразой, а также сменить пароли от бирж, браузеров, электронной почты и Telegram, завершив все активные сессии. «Крякнутый софт, KeyGen и защищённые паролем архивы — один из самых частых способов распространения инфостилеров. Не устанавливайте их», — подчеркнули в компании.
