Фалшива руска версия на Tor Browser, използвана за кражба на криптовалута и QIWI

Изследователи от ESET разкри разпространение на компилация на злонамерен браузър Tor от неизвестни нападатели. Сглобката беше позиционирана като официалната руска версия на Tor Browser, докато нейните създатели нямат нищо общо с проекта Tor, а целта на създаването му беше да замени портфейлите Bitcoin и QIWI.

За да подведат потребителите, създателите на сборката регистрираха домейните tor-browser.org и torproect.org (различни от официалния уебсайт на torproJect.org поради липсата на буквата „J“, което остава незабелязано от много рускоезични потребители). Дизайнът на сайтовете беше стилизиран, за да наподобява официалния уебсайт на Tor. Първият сайт показва страница с предупреждение за използване на остаряла версия на Tor Browser и предложение за инсталиране на актуализация (връзката води до сборка с троянски софтуер), а на втория съдържанието е същото като страницата за изтегляне Tor браузър. Зловреден сборник е създаден само за Windows.

От 2017 г. троянският Tor Browser се популяризира на различни рускоезични форуми, в дискусии, свързани с даркнет, криптовалути, заобикаляне на блокирането на Roskomnadzor и проблеми с поверителността. За да разпространява браузъра, pastebin.com създаде и много страници, оптимизирани да се показват в топ търсачките по теми, свързани с различни незаконни операции, цензура, имена на известни политици и др.
Страници, рекламиращи фиктивна версия на браузъра на pastebin.com, са прегледани повече от 500 хиляди пъти.

Фиктивната компилация беше базирана на кодовата база на Tor Browser 7.5 и освен вградените злонамерени функции, незначителни корекции на User-Agent, деактивиране на проверката на цифровия подпис за добавки и блокиране на системата за инсталиране на актуализация, беше идентична с официалната Браузър Tor. Злонамереното вмъкване се състоеше от прикачване на манипулатор на съдържание към стандартната добавка HTTPS Everywhere (допълнителен скрипт script.js беше добавен към manifest.json). Останалите промени бяха направени на ниво настройка на настройките и всички двоични части останаха от официалния браузър Tor.

Скриптът, интегриран в HTTPS Everywhere, при отваряне на всяка страница се свързва с контролния сървър, който връща JavaScript код, който трябва да бъде изпълнен в контекста на текущата страница. Контролният сървър функционираше като скрита услуга Tor. Чрез изпълнение на JavaScript код, атакуващите могат да прихванат съдържанието на уеб формуляри, да заменят или скрият произволни елементи на страници, да покажат фиктивни съобщения и т.н. При анализа на злонамерения код обаче беше записан само кодът за подмяна на детайли на QIWI и биткойн портфейли на страниците за приемане на плащания в тъмната мрежа. По време на злонамерената дейност в портфейлите, използвани за подмяна, са натрупани 4.8 биткойна, което съответства на приблизително 40 хиляди долара.

Източник: opennet.ru