ESET کے محققین نامعلوم حملہ آوروں کے ذریعہ بدنیتی پر مبنی ٹور براؤزر اسمبلی کی تقسیم۔ اسمبلی کو ٹور براؤزر کے سرکاری روسی ورژن کے طور پر رکھا گیا تھا، جبکہ اس کے تخلیق کاروں کا ٹور پروجیکٹ سے کوئی تعلق نہیں ہے، اور اس کی تخلیق کا مقصد Bitcoin اور QIWI والیٹس کو تبدیل کرنا تھا۔
صارفین کو گمراہ کرنے کے لیے، اسمبلی کے تخلیق کاروں نے tor-browser.org اور torproect.org (آفیشل ٹورپرو ویب سائٹ سے مختلف) ڈومینز رجسٹر کیےJect.org حرف "J" کی عدم موجودگی سے، جس پر بہت سے روسی بولنے والے صارفین کا دھیان نہیں جاتا ہے)۔ سائٹس کے ڈیزائن کو سرکاری ٹور ویب سائٹ سے مشابہ کرنے کے لیے اسٹائلائز کیا گیا تھا۔ پہلی سائٹ نے ٹور براؤزر کے پرانے ورژن کے استعمال کے بارے میں انتباہ کے ساتھ ایک صفحہ دکھایا اور ایک اپ ڈیٹ انسٹال کرنے کی تجویز (لنک ٹروجن سافٹ ویئر کے ساتھ اسمبلی کی طرف لے گیا)، اور دوسرے پر مواد وہی تھا جو ڈاؤن لوڈ کرنے کے لیے صفحہ تھا۔ ٹور براؤزر۔ بدنیتی پر مبنی اسمبلی صرف ونڈوز کے لیے بنائی گئی تھی۔
2017 سے، ٹروجن ٹور براؤزر کو روسی زبان کے مختلف فورمز پر ڈارک نیٹ، کریپٹو کرنسی، Roskomnadzor بلاک کرنے اور رازداری کے مسائل کو نظرانداز کرتے ہوئے پروموٹ کیا گیا ہے۔ براؤزر کو تقسیم کرنے کے لیے، pastebin.com نے مختلف غیر قانونی کارروائیوں، سنسرشپ، مشہور سیاست دانوں کے نام وغیرہ سے متعلق موضوعات پر سرفہرست سرچ انجنوں میں ظاہر ہونے کے لیے موزوں کئی صفحات بھی بنائے۔
pastebin.com پر براؤزر کے فرضی ورژن کی تشہیر کرنے والے صفحات کو 500 ہزار سے زیادہ بار دیکھا گیا۔
فرضی تعمیر ٹور براؤزر 7.5 کوڈبیس پر مبنی تھی اور، بلٹ ان نقصان دہ افعال کے علاوہ، یوزر-ایجنٹ میں معمولی ایڈجسٹمنٹ، ایڈ آنز کے لیے ڈیجیٹل دستخطی تصدیق کو غیر فعال کرنا، اور اپ ڈیٹ انسٹالیشن سسٹم کو بلاک کرنا، اہلکار کی طرح تھا۔ ٹور براؤزر۔ بدنیتی پر مبنی اندراج معیاری HTTPS Everywhere ایڈ آن کے ساتھ مواد کے ہینڈلر کو منسلک کرنے پر مشتمل تھا (ایک اضافی script.js اسکرپٹ manifest.json میں شامل کیا گیا تھا)۔ بقیہ تبدیلیاں ترتیبات کو ایڈجسٹ کرنے کی سطح پر کی گئی تھیں، اور تمام بائنری حصے سرکاری ٹور براؤزر سے رہے۔
اسکرپٹ کو HTTPS Everywhere میں ضم کیا گیا، ہر صفحہ کو کھولتے وقت، کنٹرول سرور سے رابطہ کیا، جس نے JavaScript کوڈ واپس کر دیا جسے موجودہ صفحہ کے تناظر میں عمل میں لایا جانا چاہیے۔ کنٹرول سرور ایک پوشیدہ ٹور سروس کے طور پر کام کرتا ہے۔ JavaScript کوڈ کو لاگو کرنے سے، حملہ آور ویب فارمز کے مواد کو روک سکتے ہیں، صفحات پر من مانی عناصر کو تبدیل یا چھپا سکتے ہیں، فرضی پیغامات وغیرہ ڈسپلے کر سکتے ہیں۔ تاہم، نقصان دہ کوڈ کا تجزیہ کرتے وقت، ڈارک نیٹ پر ادائیگی کی منظوری والے صفحات پر صرف QIWI تفصیلات اور بٹ کوائن والیٹس کو تبدیل کرنے کا کوڈ ریکارڈ کیا گیا تھا۔ بدنیتی پر مبنی سرگرمی کے دوران، متبادل کے لیے استعمال ہونے والے بٹوے پر 4.8 بٹ کوائنز جمع ہوئے، جو تقریباً 40 ہزار ڈالر کے مساوی ہیں۔
ماخذ: opennet.ru