El malware «TradingView Premium Cracked» se dirige a las billeteras de cifrado en Windows y Mac

Los estafadores están publicando enlaces a lo que describen como «TradingView Premium agrietado» para Windows o Mac y compartiendo los enlaces en Reddit. Según MalwareBytes, los archivos contienen malware que se dirige a las billeteras de cifrado y drena los tokens. Los estafadores afirman que la versión agrietada de TradingView permite el acceso a características restringidas, un atractivo atractivo para los inversores criptográficos que a menudo disfrutan navegar por las listas y acceder a indicadores avanzados. 

Los estafadores afirman que el software agrietado se obtuvo directamente de los archivos originales, pero contiene dos programas de malware, Lumma y Atomic. Lumma, un proyecto comenzó en 2022, se dirige a las billeteras de criptografía, presenta autenticación de dos factores y se centra en el robo de información. Atomic, un proyecto descubierto en 2023, es un paquete de malware que ha estado deambulando en la naturaleza para quién sabe cuándo. Es conocido por descubrir contraseñas y credenciales administrativas.

El archivo agrietado es de doble Zip, con la segunda zip que contiene una contraseña. Esto ya debería ser una bandera roja porque no es necesario que el archivo sea doble a menos que uno oculte algo de un escáner automatizado. El instalador es un paquete de malware popular llamado AMOS (Atomic Stealer) con la versión Mac. El instalador verifica si está en una caja de arena para evitar la detección de investigadores de malware. 

AMOS luego procede a robar datos confidenciales después de verificar si hay un sandbox. Envía el paquete a través de una solicitud de publicación a un servidor ubicado en Seychelles en la dirección 45.140.13.x. 

Los archivos de malware están alojados en el sitio web de una empresa de limpieza con sede en Dubai, lo que sugiere que los atacantes han tomado el control del sitio, dado que podrían haber elegido otro servidor para sus archivos. El sitio web tiene una versión PHP desactualizada, 7.3.33, que se volvió vulnerable en diciembre de 2021, proporcionando a los atacantes un objetivo fácil para alojar sus archivos y lanzar una campaña de malware contra los titulares de criptomonedas. 

La versión de Windows extrae información utilizando un archivo BAT, costs.tiff.bat. Reúne un ejecutable a partir de numerosos fragmentos de archivos, ofusca ataques de escáner de virus automáticos y se comunica con un centro de comando y control en Cousidporke Dot ICU, un dominio registrado en Rusia hace solo una semana.

Los estafadores publican los enlaces de malware en Reddit y luego se quedan para ayudar a las personas a instalar el software. Muchas víctimas de ataque pueden sentirse más seguras debido al constante apoyo ofrecido en Reddit. Esta parece ser una campaña muy dedicada para difundir el malware. Sin embargo, dado que el objetivo es una billetera de criptomonedas, el esfuerzo parece que vale la pena porque los atacantes están ganando millones de dólares en fondos robados.