Selon une alerte attribuée à SlowMist, un package « TradingView Premium cracké » promu par @cryptotrice est un cheval de Troie espion pour Windows capable de collecter des identifiants de navigateur, des informations chiffrées de portefeuille et des données Telegram. Le même rapport recommande aux personnes l’ayant exécuté de déconnecter l’appareil, de transférer leurs actifs depuis une machine saine et de changer leurs phrases mnémoniques.

Ce que le malware pourrait dérober selon SlowMist

Selon l’alerte fournie, SlowMist a identifié le package TradingView Premium cracké comme un cheval de Troie espion pour Windows, capable de collecter des identifiants de navigateur, des informations chiffrées de portefeuille et des données Telegram. Le malware transmettrait également les données volées vers une infrastructure de commande et de contrôle via WinINet.

Ce point est important, car l’exposition signalée ne se limite ni à une seule application ni à un seul portefeuille. Si les identifiants enregistrés dans le navigateur, les données liées aux portefeuilles et les informations Telegram sont tous accessibles depuis le même appareil Windows infecté, le risque inclut la prise de contrôle de comptes, des campagnes de phishing ultérieures et d’éventuels transferts d’actifs.

Le même rapport limite le périmètre actuellement confirmé à Windows. Il indique aussi qu’un lien de téléchargement macOS renvoyait une erreur 404 et qu’aucun échantillon macOS n’avait alors été obtenu. Cela ne signifie pas que macOS est sûr ; seulement qu’aucun échantillon pour Mac n’avait été analysé dans cette affaire.

Ce que l’on sait de l’appât et de la chaîne de diffusion

L’alerte indique que Telegram et Steam ont été utilisés pour obtenir et faire tourner les emplacements de téléchargement ou de commande et contrôle. Elle décrit également arche-hypnose.com comme un site légitime présumé qui pourrait avoir été compromis afin de servir à la diffusion. L’implication de ce site reste donc une suspicion, et non une conclusion établie.

Dans le périmètre décrit par le rapport, ce package semble aller au-delà d’un faux installateur dépourvu d’infrastructure serveur. La rotation de l’infrastructure serait cohérente avec une opération visant à maintenir les canaux de diffusion ou de contrôle actifs même après la suppression de certains liens.

Le contexte historique apporte aussi un éclairage utile. Dans une publication datée du 18 mars 2025, Malwarebytes avait décrit de précédents leurres de TradingView cracké sur Reddit ciblant les traders de cryptomonnaies, avec des installateurs Windows et Mac embarquant des voleurs de données. Cela montre que ce type d’appât n’est pas nouveau, sans pour autant établir que le package actuel relève de la même famille de malwares, du même opérateur ou de la même campagne.

Mesures immédiates après son exécution

Selon l’alerte fournie, SlowMist conseille de se déconnecter d’Internet, de transférer les actifs depuis un appareil sain et de changer les phrases mnémoniques. Pour les utilisateurs exposés, la marche à suivre est directe : isoler d’abord l’appareil, puis déplacer les fonds et renouveler les secrets depuis un matériel qui n’a pas exécuté le package.

Une courte fiche récapitulative issue de la même alerte permet de préciser le risque immédiat :

La principale conséquence est qu’il ne faut pas reprendre une utilisation normale de la même machine. Si le comportement signalé est exact, les accès aux portefeuilles, les mots de passe enregistrés et les comptes de messagerie peuvent tous avoir été exposés depuis un même terminal. Les opérations de récupération doivent donc être menées depuis un appareil distinct et sain, et non depuis le système infecté.