Que s'est-il passé ?
La société de sécurité SlowMist, spécialisée dans la crypto, a publié une alerte au sujet d'un fichier diffusé sous le nom de "Cracked TradingView Premium", c'est-à-dire une version illégale et piratée de l'offre payante de la plateforme de trading populaire TradingView. Selon SlowMist, il ne s'agit pas d'un logiciel fonctionnel gratuit, mais d'un malware (programme malveillant) ciblant les utilisateurs Windows, qui cherche à récupérer les données liées aux portefeuilles crypto. L'information a été rapportée par le portail The Defiant.
En d'autres termes : quelqu'un attire les utilisateurs avec un outil premium "déverrouillé gratuitement" et, à la place, installe sur leur ordinateur un programme qui collecte des informations sensibles.
Comment fonctionne le malware selon SlowMist ?
Selon l'alerte de SlowMist, telle que résumée par The Defiant, l'échantillon pour Windows présente une caractéristique techniquement intéressante. Pour faire tourner ce que l'on appelle les command servers (serveurs de commande, via lesquels l'attaquant contrôle les machines infectées et en collecte les données), il détourne les services courants Telegram et Steam.
Pourquoi les attaquants font-ils cela ? Lorsque les commandes et les adresses des serveurs de commande se cachent derrière des plateformes légitimes et largement utilisées, il est plus difficile de filtrer le trafic du malware comme étant manifestement malveillant. La communication se fond dans le trafic ordinaire qui, de toute façon, a généralement lieu sur les ordinateurs.
Combien y a-t-il de victimes et combien a été volé ?
C'est la partie clé où il faut être honnête. L'alerte de SlowMist, d'après The Defiant, ne mentionne aucun vol confirmé ni aucun nombre de victimes. Nous ne savons donc pas combien de personnes ont téléchargé le fichier, si quelqu'un a réellement perdu des fonds, ni l'ampleur d'un éventuel dommage.
L'avertissement est donc un signal préventif sur l'existence d'une menace, et non un bilan des dommages déjà causés. C'est une distinction importante : l'existence du malware est attestée par l'affirmation de SlowMist, mais l'ampleur de l'impact ne l'est pas.
Pourquoi cela compte au-delà de ce seul fichier ?
Ce cas s'inscrit dans un schéma plus large des derniers jours, au cours desquels les utilisateurs crypto sont confrontés à plusieurs reprises à l'exposition de données sensibles. Un exemple est la fuite de données annoncée chez le fournisseur de cartes de débit crypto Gnosis Pay, dont a fait état Cointelegraph. Selon Gnosis Pay, des données de cartes, des informations personnelles ainsi que des informations liées aux portefeuilles crypto ont été exposées, mais la société a indiqué que les fonds des clients sont restés en sécurité.
Le dénominateur commun n'est pas une attaque spécifique, mais ce qui est en jeu : des identifiants d'accès et d'identification qui, dans le monde crypto, peuvent mener directement à l'argent. C'est précisément pour cela que les outils de trading, les cartes et les portefeuilles constituent des cibles attrayantes.
À quoi faire attention face à ce type de menace ?
Ceci n'est ni un conseil d'investissement ni une liste de choses à acheter. C'est une description du mécanisme, pour que vous puissiez reconnaître un schéma similaire :
- Les programmes payants "cracked" ou "déverrouillés gratuitement" sont un vecteur classique de malware. La promesse d'une fonction premium gratuite est un appât.
- Un malware n'attaque souvent pas bruyamment. Son but est de collecter des données discrètement, et non de se manifester immédiatement, donc l'absence de problème visible ne signifie pas que tout est propre.
- Le détournement de services légitimes (ici Telegram et Steam) signifie que "ça a l'air normal" n'est pas un test de sécurité fiable.
- L'ampleur des dommages se connaît généralement plus tard, si tant est qu'on la connaisse. Pour ce cas, il n'y a pas encore de chiffres publics.
Ce qui reste non confirmé
Des parties essentielles de l'histoire restent ouvertes. Nous ne connaissons pas le nombre de victimes, nous ne connaissons pas le volume des pertes éventuelles et nous n'avons aucune confirmation indépendante des détails techniques au-delà de l'alerte de SlowMist elle-même, telle que reprise par The Defiant. Nous suivrons l'évolution de la situation et l'apparition éventuelle de chiffres concrets, et nous compléterons si besoin.