टोर ब्राउझरची बनावट रशियन आवृत्ती क्रिप्टोकरन्सी आणि QIWI चोरण्यासाठी वापरली जाते

ESET मधील संशोधक ओळखले अज्ञात हल्लेखोरांद्वारे दुर्भावनापूर्ण टोर ब्राउझर बिल्डचे वितरण. असेंब्लीला टोर ब्राउझरची अधिकृत रशियन आवृत्ती म्हणून स्थान देण्यात आले होते, तर त्याच्या निर्मात्यांचा टॉर प्रकल्पाशी काहीही संबंध नाही आणि त्याच्या निर्मितीचा उद्देश बिटकॉइन आणि क्यूआयडब्ल्यूआय वॉलेट बदलणे हा होता.

वापरकर्त्यांची दिशाभूल करण्यासाठी, असेंबलीच्या निर्मात्यांनी tor-browser.org आणि torproect.org (अधिकृत torpro वेबसाइटपेक्षा वेगळे) डोमेन नोंदणीकृत केले.J"J" अक्षराच्या अनुपस्थितीमुळे ect.org, जे बर्याच रशियन भाषिक वापरकर्त्यांच्या लक्षात येत नाही). साइट्सचे डिझाइन अधिकृत टोर वेबसाइटसारखे बनले होते. पहिल्या साइटवर टॉर ब्राउझरची कालबाह्य आवृत्ती वापरण्याबद्दल चेतावणी देणारे एक पृष्ठ प्रदर्शित केले गेले आणि एक अद्यतन स्थापित करण्याचा प्रस्ताव (लिंक ट्रोजन सॉफ्टवेअरसह असेंब्लीकडे नेत आहे) आणि दुसऱ्यावर सामग्री डाउनलोड करण्यासाठी पृष्ठासारखीच होती. टोर ब्राउझर. दुर्भावनापूर्ण असेंब्ली केवळ विंडोजसाठी तयार केली गेली होती.

2017 पासून, ट्रोजन टोर ब्राउझरचा प्रचार विविध रशियन-भाषेतील मंचांवर, डार्कनेट, क्रिप्टोकरन्सी, रोस्कोमनाडझोर ब्लॉकिंग आणि गोपनीयता समस्यांशी संबंधित चर्चेत करण्यात आला आहे. ब्राउझरचे वितरण करण्यासाठी, pastebin.com ने विविध बेकायदेशीर ऑपरेशन्स, सेन्सॉरशिप, प्रसिद्ध राजकारण्यांची नावे इत्यादींशी संबंधित विषयांवर शीर्ष शोध इंजिनमध्ये दिसण्यासाठी ऑप्टिमाइझ केलेली अनेक पृष्ठे देखील तयार केली आहेत.
pastebin.com वर ब्राउझरच्या काल्पनिक आवृत्तीची जाहिरात करणारी पृष्ठे 500 हजाराहून अधिक वेळा पाहिली गेली.

काल्पनिक बिल्ड टोर ब्राउझर 7.5 कोडबेसवर आधारित होती आणि अंगभूत दुर्भावनापूर्ण कार्यांव्यतिरिक्त, वापरकर्ता-एजंटमध्ये किरकोळ समायोजन, अॅड-ऑनसाठी डिजिटल स्वाक्षरी पडताळणी अक्षम करणे आणि अद्यतन स्थापना प्रणाली अवरोधित करणे, अधिकाऱ्याप्रमाणेच होते. टोर ब्राउझर. दुर्भावनापूर्ण इन्सर्शनमध्ये मानक HTTPS एव्हरीवेअर अॅड-ऑनला सामग्री हँडलर संलग्न करणे समाविष्ट होते (अतिरिक्त script.js स्क्रिप्ट manifest.json मध्ये जोडली गेली होती). उर्वरित बदल सेटिंग्ज समायोजित करण्याच्या स्तरावर केले गेले आणि सर्व बायनरी भाग अधिकृत टोर ब्राउझरमधून राहिले.

HTTPS एव्हरीव्हेअर मध्ये समाकलित केलेली स्क्रिप्ट, प्रत्येक पृष्ठ उघडताना, कंट्रोल सर्व्हरशी संपर्क साधला, ज्याने JavaScript कोड परत केला जो वर्तमान पृष्ठाच्या संदर्भात कार्यान्वित केला पाहिजे. नियंत्रण सर्व्हर लपविलेली टोर सेवा म्हणून कार्य करते. JavaScript कोड कार्यान्वित करून, आक्रमणकर्ते वेब फॉर्मची सामग्री रोखू शकतात, पृष्ठांवर अनियंत्रित घटक बदलू शकतात किंवा लपवू शकतात, काल्पनिक संदेश प्रदर्शित करू शकतात इ. तथापि, दुर्भावनापूर्ण कोडचे विश्लेषण करताना, डार्कनेटवरील पेमेंट स्वीकृती पृष्ठांवर QIWI तपशील आणि बिटकॉइन वॉलेट्स बदलण्यासाठी फक्त कोड रेकॉर्ड केला गेला. दुर्भावनापूर्ण क्रियाकलापादरम्यान, प्रतिस्थापनासाठी वापरल्या जाणार्‍या वॉलेटवर 4.8 बिटकॉइन जमा झाले, जे अंदाजे 40 हजार डॉलर्सशी संबंधित आहेत.

स्त्रोत: opennet.ru