Cosa è successo?
La società di sicurezza SlowMist, specializzata in crypto, ha pubblicato un avviso su un file diffuso come "Cracked TradingView Premium", ovvero una versione illegale e craccata del piano a pagamento della popolare piattaforma di trading TradingView. Secondo SlowMist non si tratta di un software funzionante e gratuito, ma di malware (programma dannoso) mirato agli utenti Windows, che cerca di ottenere i dati associati ai wallet crypto. La notizia è stata riportata dal portale The Defiant.
In altre parole: qualcuno attira gli utenti con uno strumento premium "sbloccato gratis" e al suo posto installa sul computer un programma che raccoglie dati sensibili.
Come funziona il malware secondo SlowMist?
Secondo l'avviso di SlowMist, così come riassunto da The Defiant, il campione per Windows ha una caratteristica tecnicamente interessante. Per la rotazione dei cosiddetti command server (server di comando attraverso cui l'attaccante controlla le macchine infette e raccoglie i loro dati) sfrutta i comuni servizi Telegram e Steam.
Perché gli attaccanti lo fanno? Quando i comandi e gli indirizzi dei server di comando si nascondono dietro piattaforme legittime e molto usate, è più difficile filtrare il traffico del malware come palesemente dannoso. La comunicazione si fonde con il traffico normale che di solito avviene comunque sui computer.
Quante sono le vittime e quanto è stato rubato?
Questa è la parte chiave in cui bisogna essere onesti. L'avviso di SlowMist, secondo The Defiant, non riporta alcun furto confermato né il numero di vittime. Non sappiamo quindi quante persone abbiano scaricato il file, se qualcuno abbia realmente perso dei fondi, né quanto sia grande l'eventuale danno.
L'avviso è dunque un segnale preventivo sull'esistenza di una minaccia, non un bilancio dei danni già causati. Questa è una distinzione importante: l'esistenza del malware è documentata dall'affermazione di SlowMist, l'entità dell'impatto non è documentata.
Perché conta anche al di là di questo singolo file?
Questo caso si inserisce in uno schema più ampio degli ultimi giorni, in cui gli utenti crypto si trovano ripetutamente ad affrontare l'esposizione di dati sensibili. Un esempio è la fuga di dati annunciata presso il fornitore di carte di debito crypto Gnosis Pay, di cui ha riferito Cointelegraph. Secondo Gnosis Pay sono stati esposti dati delle carte, informazioni personali e informazioni associate ai wallet crypto, ma la società ha dichiarato che i fondi dei clienti sono rimasti al sicuro.
Il denominatore comune non è un singolo attacco specifico, ma ciò che è in gioco: credenziali di accesso e identificazione che nel mondo crypto possono portare direttamente al denaro. Proprio per questo gli strumenti di trading, le carte e i wallet sono spesso un bersaglio attraente.
A cosa fare attenzione con questo tipo di minaccia?
Questo non è un consiglio di investimento né una lista di cosa comprare. È una descrizione del meccanismo, per aiutarti a riconoscere uno schema simile:
- I programmi a pagamento "craccati" o "sbloccati gratis" sono un classico veicolo di malware. La promessa di una funzione premium gratuita è l'esca.
- Il malware spesso non attacca in modo rumoroso. L'obiettivo è raccogliere dati in silenzio, non manifestarsi subito, quindi l'assenza di un problema visibile non significa che tutto sia pulito.
- Lo sfruttamento di servizi legittimi (qui Telegram e Steam) significa che "sembra normale" non è un test affidabile di sicurezza.
- L'entità del danno di solito la scopriamo solo dopo, se mai. In questo caso per ora non ci sono numeri pubblici.
Cosa è ancora non confermato
Parti sostanziali della storia restano aperte. Non conosciamo il numero di vittime, non conosciamo l'entità delle eventuali perdite e non abbiamo una conferma indipendente dei dettagli tecnici al di fuori dell'avviso stesso di SlowMist, così come ripreso da The Defiant. Seguiremo l'evolversi della situazione e se emergeranno numeri concreti aggiorneremo di conseguenza.