암호화폐와 QIWI를 훔치는 데 사용되는 가짜 러시아어 버전의 Tor 브라우저

ESET 연구진 노출된 알려지지 않은 공격자가 악성 Tor 브라우저 빌드를 배포합니다. 이 어셈블리는 Tor 브라우저의 공식 러시아 버전으로 자리 잡았으며 제작자는 Tor 프로젝트와 아무런 관련이 없으며 제작 목적은 Bitcoin 및 QIWI 지갑을 대체하는 것이었습니다.

사용자를 속이기 위해 어셈블리 작성자는 tor-browser.org 및 torproect.org 도메인을 등록했습니다(공식 torpro 웹사이트와는 다름).Ject.org에는 러시아어를 사용하는 많은 사용자가 눈에 띄지 않는 문자 "J"가 없기 때문에). 사이트의 디자인은 공식 Tor 웹사이트와 유사하게 만들어졌습니다. 첫 번째 사이트에는 오래된 버전의 Tor 브라우저 사용에 대한 경고와 업데이트 설치 제안이 포함된 페이지가 표시되었으며(링크는 트로이 목마 소프트웨어 어셈블리로 연결됨) 두 번째 사이트에서는 내용이 다운로드 페이지와 동일했습니다. 토르 브라우저. 악성 어셈블리는 Windows용으로만 생성되었습니다.

2017년부터 Trojan Tor Browser는 다크넷, 암호화폐, Roskomnadzor 차단 우회 및 개인 정보 보호 문제와 관련된 토론을 통해 다양한 러시아어 포럼에서 홍보되었습니다. 브라우저를 배포하기 위해 Pastebin.com은 다양한 불법 활동, 검열, 유명 정치인의 이름 등과 관련된 주제에 대해 상위 검색 엔진에 표시되도록 최적화된 많은 페이지를 만들었습니다.
Pastebin.com에서 브라우저의 가짜 버전을 광고하는 페이지는 500만 번 이상 조회되었습니다.

가상의 빌드는 Tor Browser 7.5 코드베이스를 기반으로 했으며 내장된 악성 기능을 제외하고 User-Agent에 대한 사소한 조정, 추가 기능에 대한 디지털 서명 확인 비활성화 및 업데이트 설치 시스템 차단 등은 공식 빌드와 동일했습니다. 토르 브라우저. 악의적인 삽입은 표준 HTTPS Everywhere 추가 기능에 콘텐츠 핸들러를 연결하는 것으로 구성되었습니다(manifest.json에 추가 script.js 스크립트가 추가됨). 나머지 변경 사항은 설정 조정 수준에서 이루어졌으며 모든 바이너리 부분은 공식 Tor 브라우저에서 그대로 유지되었습니다.

HTTPS Everywhere에 통합된 스크립트는 각 페이지를 열 때 제어 서버에 연결되어 현재 페이지의 컨텍스트에서 실행되어야 하는 JavaScript 코드를 반환했습니다. 제어 서버는 숨겨진 Tor 서비스로 작동했습니다. 공격자는 JavaScript 코드를 실행하여 웹 양식의 콘텐츠를 가로채고, 페이지의 임의 요소를 대체하거나 숨기고, 가상의 메시지를 표시하는 등의 작업을 할 수 있습니다. 하지만 악성코드 분석 결과 다크넷 결제 승인 페이지에서 QIWI 정보와 비트코인 ​​지갑을 대체하는 코드만 기록됐다. 악의적인 활동 동안 대체에 사용된 지갑에는 4.8비트코인이 축적되었으며, 이는 약 40만 달러에 해당합니다.

출처 : opennet.ru