ટોર બ્રાઉઝરના નકલી રશિયન સંસ્કરણનો ઉપયોગ ક્રિપ્ટોકરન્સી અને QIWI ચોરી કરવા માટે થાય છે

ESET ના સંશોધકો જાહેર કર્યું અજાણ્યા હુમલાખોરો દ્વારા દૂષિત ટોર બ્રાઉઝર બિલ્ડનું વિતરણ. એસેમ્બલીને ટોર બ્રાઉઝરના અધિકૃત રશિયન સંસ્કરણ તરીકે સ્થાન આપવામાં આવ્યું હતું, જ્યારે તેના સર્જકોને ટોર પ્રોજેક્ટ સાથે કોઈ લેવાદેવા નથી, અને તેની રચનાનો હેતુ બિટકોઈન અને QIWI વોલેટ્સને બદલવાનો હતો.

વપરાશકર્તાઓને ગેરમાર્ગે દોરવા માટે, એસેમ્બલીના નિર્માતાઓએ tor-browser.org અને torproect.org (અધિકૃત ટોરપ્રો વેબસાઇટથી અલગ) ડોમેન્સ રજીસ્ટર કર્યાJ"J" અક્ષરની ગેરહાજરી દ્વારા ect.org, જે ઘણા રશિયન બોલતા વપરાશકર્તાઓ દ્વારા ધ્યાન આપવામાં આવતું નથી). સાઇટ્સની ડિઝાઇન સત્તાવાર ટોર વેબસાઇટને મળતી આવે તેવી શૈલીમાં બનાવવામાં આવી હતી. પ્રથમ સાઇટે ટોર બ્રાઉઝરના જૂના સંસ્કરણનો ઉપયોગ કરવાની ચેતવણી અને અપડેટ ઇન્સ્ટોલ કરવાની દરખાસ્ત સાથેનું પૃષ્ઠ પ્રદર્શિત કર્યું (લિંક ટ્રોજન સૉફ્ટવેર સાથે એસેમ્બલી તરફ દોરી ગઈ), અને બીજા પર સામગ્રી ડાઉનલોડ કરવા માટેના પૃષ્ઠ જેવી જ હતી. ટોર બ્રાઉઝર. દૂષિત એસેમ્બલી ફક્ત Windows માટે જ બનાવવામાં આવી હતી.

2017 થી, ટ્રોજન ટોર બ્રાઉઝરને વિવિધ રશિયન-ભાષાના મંચો પર પ્રમોટ કરવામાં આવ્યું છે, જેમાં ડાર્કનેટ, ક્રિપ્ટોકરન્સી, રોસ્કોમનાડઝોર બ્લોકિંગ અને ગોપનીયતા મુદ્દાઓને બાયપાસ કરીને સંબંધિત ચર્ચાઓ કરવામાં આવી છે. બ્રાઉઝરને વિતરિત કરવા માટે, pastebin.com એ વિવિધ ગેરકાયદેસર કામગીરી, સેન્સરશીપ, પ્રખ્યાત રાજકારણીઓના નામ વગેરેને લગતા વિષયો પર ટોચના સર્ચ એન્જિનમાં દેખાવા માટે ઑપ્ટિમાઇઝ કરેલા ઘણા પૃષ્ઠો પણ બનાવ્યા.
pastebin.com પર બ્રાઉઝરના કાલ્પનિક સંસ્કરણની જાહેરાત કરતા પૃષ્ઠો 500 હજારથી વધુ વખત જોવામાં આવ્યા હતા.

કાલ્પનિક બિલ્ડ ટોર બ્રાઉઝર 7.5 કોડબેઝ પર આધારિત હતું અને, બિલ્ટ-ઇન દૂષિત કાર્યો સિવાય, વપરાશકર્તા-એજન્ટમાં નજીવા ગોઠવણો, એડ-ઓન માટે ડિજિટલ હસ્તાક્ષર ચકાસણીને અક્ષમ કરવા અને અપડેટ ઇન્સ્ટોલેશન સિસ્ટમને અવરોધિત કરવા, અધિકારીની સમાન હતી. ટોર બ્રાઉઝર. દૂષિત નિવેશમાં પ્રમાણભૂત HTTPS એવરીવેર એડ-ઓન સાથે સામગ્રી હેન્ડલરને જોડવાનો સમાવેશ થાય છે (એક વધારાની script.js સ્ક્રિપ્ટ manifest.json માં ઉમેરવામાં આવી હતી). બાકીના ફેરફારો સેટિંગ્સને સમાયોજિત કરવાના સ્તરે કરવામાં આવ્યા હતા, અને તમામ બાઈનરી ભાગો સત્તાવાર ટોર બ્રાઉઝરમાંથી જ રહ્યા હતા.

HTTPS એવરીવ્હેરમાં એકીકૃત થયેલ સ્ક્રિપ્ટ, દરેક પૃષ્ઠ ખોલતી વખતે, કંટ્રોલ સર્વરનો સંપર્ક કરે છે, જેણે JavaScript કોડ પરત કર્યો હતો જે વર્તમાન પૃષ્ઠના સંદર્ભમાં એક્ઝિક્યુટ થવો જોઈએ. કંટ્રોલ સર્વર છુપાયેલ ટોર સેવા તરીકે કાર્ય કરે છે. JavaScript કોડનો અમલ કરીને, હુમલાખોરો વેબ ફોર્મની સામગ્રીને અટકાવી શકે છે, પૃષ્ઠો પર મનસ્વી તત્વોને બદલી શકે છે અથવા છુપાવી શકે છે, કાલ્પનિક સંદેશાઓ પ્રદર્શિત કરી શકે છે, વગેરે. જો કે, દૂષિત કોડનું વિશ્લેષણ કરતી વખતે, ડાર્કનેટ પર ચુકવણી સ્વીકૃતિ પૃષ્ઠો પર QIWI વિગતો અને Bitcoin વૉલેટને બદલવા માટેનો કોડ જ રેકોર્ડ કરવામાં આવ્યો હતો. દૂષિત પ્રવૃત્તિ દરમિયાન, 4.8 બિટકોઇન્સ અવેજી માટે ઉપયોગમાં લેવાતા પાકીટ પર એકઠા થયા હતા, જે આશરે 40 હજાર ડોલરને અનુરૂપ છે.

સોર્સ: opennet.ru