شرکت امنیتی SlowMist اعلام کرده است که نسخه‌ی کرک شده‌ی TradingView Premium که از اواسط اکتبر در X تبلیغ شده، در واقع یک بدافزار ویندوزی است که برای سرقت اطلاعات حساس طراحی شده است.
جاذبه‌ی این بدافزار دسترسی رایگان به ویژگی‌های پرداختی نمودارها بود، به طوری که یکی از پست‌ها با دانلود رایگان بیش از 360,000 بازدید داشت.
چگونه نرم‌افزار تقلبی Premium کار می‌کند
Cryptotrice، که خود را در X به عنوان یک توسعه‌دهنده زنجیره‌ای معرفی کرده، به طور مکرر راهنمایی را برای آنچه که آن را نسخه‌ی معکوس مهندسی شده‌ی TradingView Premium، نسخه 3.3.0، که در اکتبر منتشر شده، تبلیغ کرده است.
در پست‌ها، از کاربران خواسته شده است که یک آرشیو محافظت شده با رمز عبور را دانلود کنند، برنامه را اجرا کنند و در یک پنجره KeyGen روی “تولید” کلیک کنند، ابزاری کوچک که کلیدهای مجوز را تولید می‌کند. این راهنما ادعا کرده است که این نسخه شامل ویژگی‌های پرداختی مانند 8 نمودار در هر تب و 400 هشدار قیمت است و نرم‌افزار را “فقط برای مقاصد آموزشی” نامیده است.
با این حال، امروز صبح، SlowMist هشداری صادر کرد که می‌گوید نمونه یک اطلاعات‌ربا است که جزئیات ورود به مرورگر و داده‌های کیف پول ارزهای دیجیتال و همچنین اطلاعات تلگرام را جمع‌آوری کرده و قبل از ارسال آن به یک سرور فرمان و کنترل از طریق رابط WinINet ویندوز، جمع‌آوری می‌کند.
در حالی که Cryptotrice پروژه را به عنوان منبع باز توصیف کرده و کاربران را به یک مخزن GitHub ارجاع داده است، SlowMist کشف کرد که لینک دانلود در مقالات تبلیغاتی به GitHub منتهی نمی‌شود. و زمانی که یکی از دنبال‌کنندگان پرسید چرا مخزن و دیسکورد فقط از طریق برنامه محلی قابل دسترسی است، تبلیغ‌کننده ادعا کرد که مخزن خصوصی شده و لینک‌های موجود در برنامه پس از یک بار استفاده منقضی می‌شوند.
به گفته‌ی SlowMist، این بدافزار از تلگرام و استیم برای بازیابی و چرخش سرورهای فرمان و کنترل خود استفاده می‌کند، و سایت دانلود، arche-hypnose[.]com، به نظر می‌رسد که یک وب‌سایت واقعی و معتبر است که برای توزیع فایل مخرب به خطر افتاده است.
این شرکت امنیتی گفت که با وجود اینکه نسخه ویندوزی محصول را به دست آورده و تحلیل کرده است، لینک macOS در زمان نوشتن این متن خطای 404 را برمی‌گرداند، به این معنی که نمی‌توانست هیچ نمونه‌ای به دست آورد و بنابراین نمی‌توانست تأیید کند که آیا آن نسخه نیز همان بدافزار را دارد یا خیر.
جالب است که وقتی کسی در پاسخ به یکی از پست‌ها که دانلود کرک شده‌ی TradingView Premium را تبلیغ می‌کرد از Grok پرسید آیا این امن است، Cryptotrice پاسخ داد که در واقع از TradingView رسمی “ایمن‌تر است زیرا هیچ مدرکی (ایمیل، رمز عبور و غیره) هرگز از سیستم شما خارج نمی‌شود.”
چه کاری باید انجام دهید اگر ممکن است برنامه را اجرا کرده‌اید
برای هر کسی که ممکن است برنامه را اجرا کرده باشد، SlowMist می‌گوید که باید دستگاه آسیب‌دیده را از شبکه جدا کرده و دارایی‌های خود را به یک دستگاه تمیز با یک کیف پول و عبارت بذر جدید منتقل کنند. آنها همچنین باید رمزهای عبور برای صرافی‌هایی که استفاده می‌کنند و همچنین رمزهای عبور مرورگرها، ایمیل‌ها و حساب‌های تلگرام خود را تغییر دهند، از جمله پایان دادن به هر یک از جلسات فعال این پلتفرم پیام‌رسان.
“نرم‌افزارهای کرک شده، KeyGenها و آرشیوهای محافظت شده با رمز عبور از جمله رایج‌ترین روش‌ها برای توزیع اطلاعات‌رباها هستند. آنها را نصب نکنید،” این شرکت هشدار داد.
هفته گذشته، SlowMist هشدار دیگری به کاربران آیفون در مورد DarkSword صادر کرد، یک آسیب‌پذیری که گفت قادر به کشیدن فایل‌های کیف پول و عبارات بازیابی از دستگاه‌های موبایل آنها هنگام مرور وب‌سایت‌های آسیب‌دیده بود.