גרסה רוסית מזויפת של Tor Browser משמשת לגניבת מטבעות קריפטוגרפיים ו-QIWI

חוקרים מ-ESET גילה הפצה של דפדפן Tor זדוני שנבנה על ידי תוקפים לא ידועים. המכלול הוצב כגרסה הרוסית הרשמית של Tor Browser, בעוד שליוצריה אין שום קשר לפרויקט Tor, ומטרת יצירתה הייתה להחליף את ארנקי הביטקוין וה-QIWI.

כדי להטעות משתמשים, יוצרי האסיפה רשמו את הדומיינים tor-browser.org ו-torproect.org (שונה מאתר torpro הרשמיJect.org בהיעדר האות "J", שאינה מורגשת על ידי משתמשים רבים דוברי רוסית). עיצוב האתרים עוצב כדי להידמות לאתר הרשמי של Tor. האתר הראשון הציג עמוד עם אזהרה על שימוש בגרסה מיושנת של Tor Browser והצעה להתקנת עדכון (הקישור הוביל להרכבה עם תוכנה טרויאנית), ובשני התוכן היה זהה לדף להורדה דפדפן Tor. ההרכבה הזדונית נוצרה רק עבור Windows.

מאז 2017, דפדפן Tor Trojan מקודם בפורומים שונים בשפה הרוסית, בדיונים הקשורים ל-darknet, מטבעות קריפטוגרפיים, עקיפת חסימת Roskomnadzor ובעיות פרטיות. כדי להפיץ את הדפדפן, pastebin.com יצרה גם דפים רבים שהותאמו להופיע במנועי החיפוש המובילים בנושאים הקשורים לפעולות לא חוקיות שונות, צנזורה, שמות של פוליטיקאים מפורסמים וכו'.
דפים המפרסמים גרסה פיקטיבית של הדפדפן באתר pastebin.com נצפו יותר מ-500 אלף פעמים.

המבנה הפיקטיבי התבסס על בסיס הקוד של Tor Browser 7.5, ומלבד פונקציות זדוניות מובנות, התאמות קלות ב-User-Agent, השבתת אימות חתימה דיגיטלית עבור הרחבות וחסימת מערכת התקנת העדכונים, היו זהים לגרסה הרשמית דפדפן Tor. ההכנסה הזדונית כללה צירוף של מטפל תוכן לתוסף HTTPS Everywhere הסטנדרטי (סקריפט נוסף של script.js התווסף ל-manifist.json). השינויים הנותרים בוצעו ברמת התאמת ההגדרות, וכל החלקים הבינאריים נשארו מדפדפן Tor הרשמי.

הסקריפט השתלב ב-HTTPS Everywhere, בעת פתיחת כל עמוד, יצר קשר עם שרת הבקרה, שהחזיר קוד JavaScript שאמור להתבצע בהקשר של העמוד הנוכחי. שרת הבקרה תפקד כשירות Tor נסתר. על ידי הפעלת קוד JavaScript, התוקפים יכולים ליירט את התוכן של טפסי אינטרנט, להחליף או להסתיר אלמנטים שרירותיים בדפים, להציג הודעות פיקטיביות וכו'. עם זאת, בעת ניתוח הקוד הזדוני, נרשם רק הקוד להחלפת פרטי QIWI וארנקי ביטקוין בדפי קבלת תשלומים ב- Darknet. במהלך הפעילות הזדונית הצטברו 4.8 ביטקוין על הארנקים ששימשו לזיוף, המקביל לכ-40 אלף דולר.

מקור: OpenNet.ru