30 万观看引爆窃密：破解 TradingView 藏木马

据 Woofun AI 消息，区块链资安公司慢雾（）于 11 月 9 日发布紧急警示，确认在社交媒体上广泛流传的"逆向破解版 Premium"实为高危险性的窃密木马。该恶意软体针对 系统设计，一旦执行即可静默窃取使用者浏览器中储存的帐号密码、加密钱包敏感资料以及 通讯纪录，对加密资产持有者构成直接威胁。

从散播源头与推广手法来看，这场攻击并非随机发生，而是经过精心策划的社会工程学行动。慢雾追踪发现，X 平台帐号"cryptotrice"自 10 月中开始，反覆发布推广该破解版软体的贴文。这些内容利用使用者对高阶交易工具的需求，声称提供免费的"逆向破解版 TradingView Premium"，其中部分贴文的观看次数甚至突破 300K，显示其触及范围极广。为了增加可信度，发文者声称该程式码库在 上开源，但实际提供的下载连结并未指向 GitHub 官方页面。当使用者质疑时，该帐号在回覆中改口称程式码库已转为私人，并谎称下载连结仅在 App 内提供且"用一次就失效"。

这种不断变换说辞的手法，旨在掩盖其恶意本质。值得注意的是，Woofun AI 整理数据显示，该推广活动的核心诱饵是所谓的"序号产生器"（KeyGen），使用者需先下载一个有密码保护的压缩档，再透过 KeyGen 产生授权码才能启用软体。

这种复杂的安装流程不仅增加了使用者的依赖感，也为木马的植入提供了完美的掩护。在留言区中，已有多名使用者示警该软体疑似恶意程式，甚至有人指出解压缩后防毒软体立即侦测并删除档案，但这些警告并未阻止大量用户下载。

在技术层面，慢雾对截获的 Windows 版本样本进行了深度逆向工程分析，确认其为典型的窃密木马（infostealer）。该木马的运作机制极具破坏性，它会系统性地扫描并收集使用者电脑中的多类敏感数据。首先，它会提取浏览器中储存的帐号密码，这意味著使用者的各种线上服务凭证将面临泄露风险。其次，它专门针对加密钱包资料进行窃取，包括私钥、助记词等核心资产控制权资讯。

此外，木马还会窃取 Telegram 的相关资料，可能包含聊天纪录与联络人资讯。为了将这些窃取到的数据传回骇客手中，木马利用了 Windows 作业系统内建的 WinINet 网路介面，确保数据传输的稳定性与隐蔽性。

更关键的变量在于，该木马具备动态更新控制伺服器位址的能力，它会透过监控 Telegram 与 的动态来取得并轮换控制伺服器位址，这种设计使得骇客能够在单一伺服器被封锁时迅速切换至备用伺服器，极大增加了追踪与封锁的难度。至于 版本，目前其下载连结回传 404 错误，慢雾尚未取得该版本的样本进行分析，但这并不排除未来出现针对苹果作业系统的特制木马的可能性。

恶意基础设施的布局同样显示出攻击者的专业性。慢雾公布的恶意下载路径包括 arche-hypnose[.]com/get/（针对 Windows）与 arche-hypnose[.]com/mac/（针对 macOS）。

值得注意的是，arche-hypnose[.]com 这个域名看起来是一个遭入侵的正常网站，攻击者利用其原有的信誉来散布恶意程式，这种"借壳上市"的手法极易降低使用者的戒心。在数据回传端，骇客使用了两个主要的控制伺服器网域：xn.amanlay[.]org 与 z.dak69[.]org。这些网域负责接收从受害者电脑传回的窃密数据。网址中的 [.] 是慢雾为了避免读者误点而进行的改写，实际网域中应为标准的句点。