Компания SlowMist сообщила, что аккаунт в X распространяет крадущее криптовалюту вредоносное ПО через поддельную «взломанную» версию TradingView Premium. По данным компании, этот тип мошенничества действует уже около 18 месяцев и нацелен на кражу приватных ключей, учётных данных браузера и сессий мессенджеров. «Взломанное» ПО — это несанкционированная копия платного продукта с удалёнными проверками лицензии — приманка, регулярно появляющаяся в множестве вредоносных кампаний, задокументированных исследователями безопасности.

В предупреждении, опубликованном в официальном аккаунте X (SlowMist в X), SlowMist сообщила, что аккаунт под именем «cryptotrice» с середины октября распространяет поддельное «взломанное» ПО. Пакет содержит инфостилер — вредонос, созданный для сбора учётных данных, сессионных данных и материала кошельков с заражённого устройства, — способный опустошать криптокошельки и захватывать аккаунты Telegram.

Знакомый сценарий

TradingView — сайт с графиками, которым трейдеры пользуются для анализа рынка, — уже более года предупреждает пользователей о мошенничестве с «взломанными версиями» и разъяснил, что не продаёт взломанные копии своего ПО. В 2025 году компания сообщила, что мошенники создали поддельные YouTube-каналы, выдававшие себя за её официальный аккаунт (блог TradingView).

Эти каналы направляли ничего не подозревающих зрителей к «версии для разработчиков» или «взломанной версии» приложения TradingView. Кнопка «скачать» для так называемой версии для разработчиков на деле была командой PowerShell, устанавливавшей троян удалённого доступа, после чего кошельки жертв опустошались. TradingView заявила, что никогда не просит пользователей запускать скрипты командной строки для установки своего ПО.

От поддельной рекламы к поддельным ИИ-инструментам

До предупреждения SlowMist компания Bitdefender отслеживала долгосрочную рекламную кампанию, продвигавшую поддельный «TradingView Premium» (Bitdefender Labs). Кампания началась в Facebook Ads, а затем распространилась на Google Ads и YouTube. К 2026 году те же группы отказались от предложений «бесплатного премиума» и вместо этого стали продавать поддельные ИИ-инструменты. Пропаганда изменилась, но файлы, извлечённые исследователями из этих кампаний, по-прежнему доставляли крадущее данные вредоносное ПО.

Malwarebytes обнаружила сайт под названием TradingClaw, который позиционировал себя как ИИ-помощник для TradingView (Malwarebytes). На самом деле инструмент устанавливал Needle Stealer — крадущее данные программу, написанную на языке Go. HP (NYSE: HPQ) отдельно обнаружила поддельный ИИ-инструмент для криптотрейдинга на tradingclaw[.]pro, скрывавший Needle Stealer внутри программы, подписанной Microsoft (NASDAQ: MSFT). Подпись помогла ему обойти Windows SmartScreen — встроенную проверку безопасности Windows. Подписи кода предназначены для подтверждения издателя программы операционной системе, поэтому файл с действительной подписью обычно вызывает меньше предупреждений безопасности. Попав в систему, вредонос заменял браузерное расширение кошелька жертвы вредоносной копией.

Needle Stealer собирает историю браузера, куки и сохранённые учётные данные, а также извлекает данные из приложений вроде Telegram. Он атакует десктопные кошельки, такие как Ledger, Trezor и Exodus, и браузерные кошельки, такие как MetaMask и Coinbase Wallet (Coinbase, NASDAQ: COIN), пытаясь украсть seed-фразы — последовательности восстановительных слов, позволяющие воссоздать кошелёк на другом устройстве и дающие их обладателю полный контроль над его средствами. Образец, проанализированный HP, искал семь браузерных расширений кошельков, включая Phantom, и перехватывал любой пароль, введённый жертвой на поддельном экране разблокировки.

Рост заражений инфостилерами

Cryptopolitan ранее сообщал о Reaper — крадущем данные программе для Mac, скрытой за поддельными страницами загрузки приложений, которая после активации атаковала Ledger Live, Trezor Suite и Exodus (Cryptopolitan).

По данным Flashpoint, в первом полугодии 2026 года инфостилерами было заражено 7,4 млн устройств — на 27% больше, чем за предыдущие шесть месяцев, — и украдено 1,7 млрд учётных данных. Поскольку инфостилеры собирают всё, что сохранено в браузере, кража учётных данных выходит за пределы криптоаккаунтов и затрагивает любые сохранённые жертвой логины. Flashpoint поставила Vidar на первое место среди самых распространённых вариантов вредоноса, опередив StealC и Lumma. Lumma лидировала до майской спецоперации правоохранительных органов 2025 года, в ходе которой было изъято около 2 300 командно-контрольных доменов. Flashpoint также отметила, что Telegram стал каналом распространения таких инструментов — то же приложение, для вылова которого создан Needle Stealer. Платформа теперь оказывается по обе стороны угрозы: канал распространения стилеров и добыча, которую они собирают, проникнув внутрь.