PANews 11월 9일 소식. X 계정 @cryptotrice가 게시물로 홍보한 이른바 "리버스 엔지니어링 크랙 버전 TradingView Premium"에 대해 슬로우미스트(SlowMist) 보안팀이 추적 분석한 결과, Windows 샘플이 정보 탈취 트로이 목마임을 확인했다:
- 브라우저 자격 증명, 암호화폐 지갑 및 Telegram 데이터를 수집하는 로직을 갖추고 있으며, WinINet을 통해 C2로 데이터를 전송
- Telegram, Steam을 이용해 C2를 동적으로 획득하고 교체
- 다운로드 사이트 arche-hypnose[.]com은 침해된 뒤 트로이 목마 유포에 사용된 것으로 의심되는 정상 웹사이트
- macOS 링크는 현재 404로, 아직 샘플을 확보하지 못함
슬로우미스트는 이미 이 소프트웨어를 실행한 사용자는 즉시 네트워크 연결을 차단하고, 클린 기기를 사용해 자산을 이전한 뒤 니모닉(복구 구문)을 변경하고, 브라우저·거래소·이메일·Telegram 등 계정의 비밀번호를 변경하며 Telegram 활성 세션을 정리할 것을 권고했다. 크랙 버전 소프트웨어, KeyGen, 비밀번호가 설정된 압축 파일은 정보 탈취 트로이 목마의 가장 흔한 유포 형태이므로 설치하지 말 것을 당부했다.
이전 소식, 어떤 X 계정이 홍보한 "TradingView Premium 크랙 버전"은 정보 탈취 악성코드로 의심된다.
