Tor ब्राउज़र का नकली रूसी संस्करण क्रिप्टोकरेंसी और QIWI चुराने के लिए उपयोग किया जाता है

ईएसईटी के शोधकर्ता दिखाया गया अज्ञात हमलावरों द्वारा निर्मित दुर्भावनापूर्ण टोर ब्राउज़र का वितरण। असेंबली को Tor ब्राउज़र के आधिकारिक रूसी संस्करण के रूप में तैनात किया गया था, जबकि इसके रचनाकारों का Tor प्रोजेक्ट से कोई लेना-देना नहीं है, और इसके निर्माण का उद्देश्य बिटकॉइन और QIWI वॉलेट को बदलना था।

उपयोगकर्ताओं को गुमराह करने के लिए, असेंबली के रचनाकारों ने tor-browser.org और torproect.org डोमेन पंजीकृत किए (आधिकारिक torpro वेबसाइट से अलग)Ject.org अक्षर "J" की अनुपस्थिति के कारण, जिस पर कई रूसी-भाषी उपयोगकर्ताओं का ध्यान नहीं जाता)। साइटों के डिज़ाइन को आधिकारिक टोर वेबसाइट के समान शैलीबद्ध किया गया था। पहली साइट पर टोर ब्राउज़र के पुराने संस्करण का उपयोग करने के बारे में चेतावनी और एक अद्यतन स्थापित करने के प्रस्ताव के साथ एक पृष्ठ प्रदर्शित किया गया था (लिंक ट्रोजन सॉफ़्टवेयर के साथ एक असेंबली की ओर ले गया), और दूसरी साइट पर सामग्री डाउनलोड करने के लिए पृष्ठ के समान थी। टोर ब्राउज़र. दुर्भावनापूर्ण असेंबली केवल विंडोज़ के लिए बनाई गई थी।

2017 के बाद से, ट्रोजन टोर ब्राउज़र को विभिन्न रूसी-भाषा मंचों पर, डार्कनेट, क्रिप्टोकरेंसी से संबंधित चर्चाओं में, रोसकोम्नाडज़ोर अवरोधन और गोपनीयता मुद्दों को दरकिनार करते हुए प्रचारित किया गया है। ब्राउज़र को वितरित करने के लिए, Pastebin.com ने विभिन्न अवैध संचालन, सेंसरशिप, प्रसिद्ध राजनेताओं के नाम आदि से संबंधित विषयों पर शीर्ष खोज इंजनों में प्रदर्शित होने के लिए अनुकूलित कई पेज भी बनाए।
Pastebin.com पर ब्राउज़र के काल्पनिक संस्करण का विज्ञापन करने वाले पेजों को 500 हजार से अधिक बार देखा गया।

काल्पनिक निर्माण टोर ब्राउज़र 7.5 कोडबेस पर आधारित था और, अंतर्निहित दुर्भावनापूर्ण कार्यों के अलावा, उपयोगकर्ता-एजेंट में मामूली समायोजन, ऐड-ऑन के लिए डिजिटल हस्ताक्षर सत्यापन को अक्षम करना और अपडेट इंस्टॉलेशन सिस्टम को अवरुद्ध करना, आधिकारिक के समान था टोर ब्राउज़र. दुर्भावनापूर्ण प्रविष्टि में एक सामग्री हैंडलर को मानक HTTPS एवरीवेयर ऐड-ऑन में संलग्न करना शामिल था (एक अतिरिक्त स्क्रिप्ट.जेएस स्क्रिप्ट को मेनिफेस्ट.जेसन में जोड़ा गया था)। शेष परिवर्तन सेटिंग्स को समायोजित करने के स्तर पर किए गए थे, और सभी बाइनरी भाग आधिकारिक टोर ब्राउज़र से बने रहे।

प्रत्येक पृष्ठ को खोलते समय HTTPS Everywhere में एकीकृत स्क्रिप्ट ने नियंत्रण सर्वर से संपर्क किया, जिसने जावास्क्रिप्ट कोड लौटाया जिसे वर्तमान पृष्ठ के संदर्भ में निष्पादित किया जाना चाहिए। नियंत्रण सर्वर एक छिपी हुई टोर सेवा के रूप में कार्य करता है। जावास्क्रिप्ट कोड निष्पादित करके, हमलावर वेब फॉर्म की सामग्री को रोक सकते हैं, पृष्ठों पर मनमाने तत्वों को प्रतिस्थापित या छिपा सकते हैं, काल्पनिक संदेश प्रदर्शित कर सकते हैं, आदि। हालाँकि, दुर्भावनापूर्ण कोड का विश्लेषण करते समय, केवल डार्कनेट पर भुगतान स्वीकृति पृष्ठों पर QIWI विवरण और बिटकॉइन वॉलेट को प्रतिस्थापित करने के लिए कोड दर्ज किया गया था। दुर्भावनापूर्ण गतिविधि के दौरान, प्रतिस्थापन के लिए उपयोग किए गए वॉलेट पर 4.8 बिटकॉइन जमा हो गए, जो लगभग 40 हजार डॉलर के बराबर है।

स्रोत: opennet.ru