Лажна руска верзија на прелистувачот Tor се користи за кражба на криптовалути и QIWI

Истражувачите од ESET идентификувани дистрибуција на злонамерен Tor Browser изграден од непознати напаѓачи. Склопот беше позициониран како официјална руска верзија на Tor Browser, додека неговите креатори немаат никаква врска со проектот Tor, а целта на неговото создавање беше да ги замени паричниците Bitcoin и QIWI.

За да ги доведат корисниците во заблуда, креаторите на склопот ги регистрираа домените tor-browser.org и torproect.org (различни од официјалната веб-страница torproJect.org со отсуство на буквата „Ј“, што останува незабележано од многу корисници што зборуваат руски). Дизајнот на сајтовите беше стилизиран да личи на официјалната веб-страница на Tor. Првата страница прикажа страница со предупредување за користење на застарена верзија на прелистувачот Tor и предлог за инсталирање ажурирање (врската доведе до склопување со тројански софтвер), а на втората содржината беше иста како страницата за преземање Прелистувач Tor. Злонамерното собрание беше создадено само за Windows.

Од 2017 година, тројанскиот прелистувач Tor е промовиран на различни форуми на руски јазик, во дискусии поврзани со даркнет, криптовалути, заобиколувајќи ги блокирањата на Роскомнадзор и прашањата за приватност. За да го дистрибуира прелистувачот, pastebin.com креираше и многу страници оптимизирани да се појавуваат во врвните пребарувачи на теми поврзани со разни нелегални операции, цензура, имиња на познати политичари итн.
Страниците кои рекламираат фиктивна верзија на прелистувачот на pastebin.com беа прегледани повеќе од 500 илјади пати.

Фиктивната конструкција беше заснована на базата на кодови Tor Browser 7.5 и, освен вградените малициозни функции, малите прилагодувања на корисничкиот агент, оневозможувањето проверка на дигитален потпис за додатоците и блокирањето на системот за инсталација на ажурирање, беше идентичен со официјалниот Tor прелистувач. Злонамерното вметнување се состоеше од прикачување на управувач со содржина на стандардниот додаток HTTPS Everywhere (дополнителна скрипта script.js беше додадена на manifest.json). Останатите промени беа направени на ниво на прилагодување на поставките, а сите бинарни делови останаа од официјалниот Tor Browser.

Скриптата интегрирана во HTTPS Everywhere, при отворањето на секоја страница, контактираше со контролниот сервер, кој го врати JavaScript кодот што треба да се изврши во контекст на тековната страница. Контролниот сервер функционираше како скриена услуга Tor. Со извршувањето на JavaScript кодот, напаѓачите би можеле да ја пресретнат содржината на веб формите, да ги заменат или сокријат произволните елементи на страниците, да прикажуваат фиктивни пораки итн. Меѓутоа, кога се анализираше злонамерниот код, беше снимен само кодот за замена на деталите за QIWI и Bitcoin-паричниците на страниците за прифаќање плаќања на даркнет. За време на злонамерната активност, на паричниците што се користат за замена се акумулирани 4.8 биткоини, што одговара на приближно 40 илјади долари.

Извор: opennet.ru