Čo sa stalo?
Bezpečnostná firma SlowMist, špecializovaná na krypto, vydala upozornenie na súbor šírený ako "Cracked TradingView Premium", teda nelegálna, prelomená verzia plateného tarifu populárnej obchodnej platformy TradingView. Podľa SlowMist nejde o funkčný softvér zadarmo, ale o malvér (škodlivý program) cielený na používateľov Windows, ktorý sa snaží získať dáta spojené s krypto peňaženkami. Informáciu priniesol portál The Defiant.
Inými slovami: niekto láka používateľov na "zadarmo odomknutý" prémiový nástroj a namiesto toho im do počítača dostane program zbierajúci citlivé údaje.
Ako podľa SlowMist malvér funguje?
Podľa upozornenia SlowMist, ako ho zhrnul The Defiant, má vzorka pre Windows jednu technicky zaujímavú vlastnosť. Na rotáciu takzvaných command serverov (riadiacich serverov, cez ktoré útočník ovláda nakazené stroje a zbiera z nich dáta) zneužíva bežné služby Telegram a Steam.
Prečo to útočníci robia? Keď sa príkazy a adresy riadiacich serverov schovávajú za legitímne, hojne používané platformy, je ťažšie prevádzku malvéru odfiltrovať ako zjavne škodlivú. Komunikácia splýva s bežnou prevádzkou, ktorá na počítačoch obvykle prebieha tak či tak.
Koľko je obetí a koľko sa ukradlo?
Toto je kľúčová časť, kde je potrebné byť úprimný. Upozornenie SlowMist podľa The Defiant neuvádza žiadne potvrdené krádeže ani počet obetí. Nevieme teda, koľko ľudí si súbor stiahlo, či niekomu reálne zmizli prostriedky, ani aká veľká je prípadná škoda.
Varovanie je teda preventívny signál o existencii hrozby, nie bilancia už napáchaných škôd. To je dôležité rozlíšenie: existencia malvéru je doložená tvrdením SlowMist, rozsah dopadu doložený nie je.
Prečo na tom záleží aj mimo tento jeden súbor?
Tento prípad zapadá do širšieho vzorca posledných dní, keď sa krypto používatelia opakovane stretávajú s expozíciou citlivých dát. Príkladom je oznámený únik dát u poskytovateľa krypto debetných kariet Gnosis Pay, o ktorom informoval Cointelegraph. Podľa Gnosis Pay došlo k vystaveniu údajov z kariet, osobných informácií aj informácií spojených s krypto peňaženkami, firma ale uviedla, že prostriedky zákazníkov zostali v bezpečí.
Spoločným menovateľom nie je jeden konkrétny útok, ale to, čo je v hre: prístupové a identifikačné údaje, ktoré môžu v krypto svete viesť priamo k peniazom. Práve preto bývajú obchodné nástroje, karty a peňaženky atraktívnym cieľom.
Na čo si pri tomto type hrozby dávať pozor?
Toto nie je investičná rada ani zoznam, čo kupovať. Je to popis mechaniky, aby ste podobný vzorec spoznali:
- "Cracked" alebo "zadarmo odomknuté" platené programy sú klasickým nosičom malvéru. Prísľub prémiovej funkcie zadarmo je návnada.
- Malvér často nezaútočí hlasno. Cieľom je ticho zbierať dáta, nie sa hneď prejaviť, takže absencia viditeľného problému neznamená, že je čisto.
- Zneužitie legitímnych služieb (tu Telegram a Steam) znamená, že "vyzerá to normálne" nie je spoľahlivý test bezpečnosti.
- Rozsah škody sa obvykle dozvedáme až neskôr, ak vôbec. Pri tomto prípade zatiaľ verejné čísla nie sú.
Čo je zatiaľ nepotvrdené
Podstatné časti príbehu zostávajú otvorené. Nevieme počet obetí, nevieme objem prípadných strát a nemáme nezávislé potvrdenie technických detailov mimo samotného upozornenia SlowMist tak, ako ho prevzal The Defiant. Ako sa situácia vyvinie a či sa objavia konkrétne čísla, budeme sledovať a prípadne doplníme.