টর ব্রাউজারের নকল রাশিয়ান সংস্করণ ক্রিপ্টোকারেন্সি এবং QIWI চুরি করতে ব্যবহৃত হয়

ESET থেকে গবেষকরা প্রকাশিত অজানা আক্রমণকারীদের দ্বারা একটি দূষিত টর ব্রাউজার বিল্ডের বিতরণ। সমাবেশটিকে টর ব্রাউজারের অফিসিয়াল রাশিয়ান সংস্করণ হিসাবে স্থান দেওয়া হয়েছিল, যখন এর নির্মাতাদের টর প্রকল্পের সাথে কিছুই করার নেই এবং এটির সৃষ্টির উদ্দেশ্য ছিল বিটকয়েন এবং QIWI ওয়ালেটগুলি প্রতিস্থাপন করা।

ব্যবহারকারীদের বিভ্রান্ত করার জন্য, সমাবেশের নির্মাতারা tor-browser.org এবং torproect.org (অফিসিয়াল টরপ্রো ওয়েবসাইট থেকে আলাদা) ডোমেন নিবন্ধন করেছেনJect.org অক্ষর "J" এর অনুপস্থিতিতে, যা অনেক রাশিয়ান-ভাষী ব্যবহারকারীদের নজরে পড়ে না)। সাইটগুলির নকশা অফিসিয়াল টর ওয়েবসাইটের অনুরূপ স্টাইলাইজ করা হয়েছিল। প্রথম সাইটটি টর ব্রাউজারের একটি পুরানো সংস্করণ ব্যবহার করার বিষয়ে একটি সতর্কতা সহ একটি পৃষ্ঠা প্রদর্শন করেছে এবং একটি আপডেট ইনস্টল করার প্রস্তাব দিয়েছে (লিংকটি ট্রোজান সফ্টওয়্যার সহ একটি সমাবেশে নেতৃত্ব দিয়েছে), এবং দ্বিতীয়টিতে সামগ্রীটি ডাউনলোড করার পৃষ্ঠার মতোই ছিল। টর ব্রাউজার। দূষিত সমাবেশ শুধুমাত্র উইন্ডোজের জন্য তৈরি করা হয়েছিল।

2017 সাল থেকে, ট্রোজান টর ব্রাউজারটি বিভিন্ন রাশিয়ান-ভাষার ফোরামে প্রচার করা হয়েছে, ডার্কনেট, ক্রিপ্টোকারেন্সি সম্পর্কিত আলোচনায়, রোসকোমনাডজোর ব্লকিং এবং গোপনীয়তার সমস্যাগুলিকে বাইপাস করে। ব্রাউজারটি বিতরণ করার জন্য, pastebin.com বিভিন্ন বেআইনি ক্রিয়াকলাপ, সেন্সরশিপ, বিখ্যাত রাজনীতিবিদদের নাম ইত্যাদি সম্পর্কিত বিষয়গুলিতে শীর্ষ সার্চ ইঞ্জিনগুলিতে উপস্থিত হওয়ার জন্য অপ্টিমাইজ করা অনেকগুলি পৃষ্ঠাও তৈরি করেছে।
pastebin.com-এ ব্রাউজারের একটি কাল্পনিক সংস্করণের বিজ্ঞাপন দেওয়া পৃষ্ঠাগুলি 500 হাজারেরও বেশি বার দেখা হয়েছে৷

কাল্পনিক বিল্ডটি টর ব্রাউজার 7.5 কোডবেসের উপর ভিত্তি করে তৈরি করা হয়েছিল এবং বিল্ট-ইন ক্ষতিকারক ফাংশনগুলি ছাড়াও, ব্যবহারকারী-এজেন্টে ছোটখাটো সমন্বয়, অ্যাড-অনগুলির জন্য ডিজিটাল স্বাক্ষর যাচাইকরণ অক্ষম করা এবং আপডেট ইনস্টলেশন সিস্টেম ব্লক করা, অফিসিয়ালের মতোই ছিল। টর ব্রাউজার। দূষিত সন্নিবেশে একটি বিষয়বস্তু হ্যান্ডলারকে স্ট্যান্ডার্ড HTTPS Everywhere অ্যাড-অনে সংযুক্ত করা ছিল (manifest.json-এ একটি অতিরিক্ত script.js স্ক্রিপ্ট যোগ করা হয়েছে)। অবশিষ্ট পরিবর্তনগুলি সেটিংস সামঞ্জস্য করার স্তরে করা হয়েছিল এবং সমস্ত বাইনারি অংশগুলি অফিসিয়াল টর ব্রাউজার থেকে রয়ে গেছে।

স্ক্রিপ্টটি HTTPS Everywhere-এ একত্রিত হয়েছে, প্রতিটি পৃষ্ঠা খোলার সময়, নিয়ন্ত্রণ সার্ভারের সাথে যোগাযোগ করে, যা জাভাস্ক্রিপ্ট কোড ফিরিয়ে দেয় যা বর্তমান পৃষ্ঠার প্রেক্ষাপটে কার্যকর করা উচিত। কন্ট্রোল সার্ভার একটি লুকানো টর পরিষেবা হিসাবে কাজ করে। জাভাস্ক্রিপ্ট কোড কার্যকর করার মাধ্যমে, আক্রমণকারীরা ওয়েব ফর্মের বিষয়বস্তুকে আটকাতে পারে, পৃষ্ঠাগুলিতে স্বেচ্ছাচারী উপাদানগুলিকে প্রতিস্থাপন করতে বা লুকিয়ে রাখতে পারে, কাল্পনিক বার্তা প্রদর্শন করতে পারে ইত্যাদি। যাইহোক, দূষিত কোড বিশ্লেষণ করার সময়, ডার্কনেটে অর্থপ্রদান গ্রহণযোগ্যতা পৃষ্ঠাগুলিতে QIWI বিবরণ এবং বিটকয়েন ওয়ালেটগুলি প্রতিস্থাপনের জন্য শুধুমাত্র কোডটি রেকর্ড করা হয়েছিল। দূষিত কার্যকলাপের সময়, প্রতিস্থাপনের জন্য ব্যবহৃত ওয়ালেটগুলিতে 4.8 বিটকয়েন জমা হয়েছিল, যা প্রায় 40 হাজার ডলারের সাথে মিলে যায়।

উত্স: opennet.ru