Неизвестные злоумышленники распространяют в интернете версию браузера Tor с вредоносным кодом. Программу позиционируют как официальную русскоязычную версию Tor.
Ссылки на установочный файл были размещены на разных форумах и сайтах pastebin.com, tor-browser.org и torproect.org. На данный момент исследователи обнаружили инсталлятор только для ОС Windows, поэтому устройства на базе macOS и Linux не были подвержены атаке.
После установки Tor работает как обычно, однако, хакеры внесли изменения в настройки и расширения, чтобы отключить автоматические обновления. Злоумышленники также модифицировали стандартный агент User-Agent для отслеживания IP пользователя. Помимо этого, в аддон HTTPS Everywhere был встроен скрипт, который загружается при открытии каждой страницы и отправляет на сервер преступников данные о действиях человека. Для этого мошенники отключили опцию xpinstall.signatures.required, которая проверяет цифровые подписи программного обеспечения в целях защиты информации и анонимности.
Хищение денег происходит в момент перевода финансовых средств на счета трёх русскоязычных нелегальных торговых площадок. В фейковую версию браузера интегрирован JavaScript, который загружается, когда пользователь пытается пополнить баланс на этих маркетплейсах. Скрипт активируется и меняет адрес кошелька Bitcoin или номер счёта QIWI, указанные в личном кабинете, на платёжные данные, принадлежащие злоумышленникам.
Эксперты не могут определить точное количество скачиваний вредоносной программы, однако, стало известно, что страницу Tor с трояном на PasteBin посетили по меньшей мере 500 000 раз. На известных кошельках хакеров хранится 4,8 BTC (почти $40 000). Разработчики антивируса ESET предполагают, что сумма ущерба значительно выше, если учитывать деньги, которые находятся на счетах в QIWI. Замысел авторов проекта можно назвать идеальным преступлением, так как жертвы не обратятся в правоохранительные органы, потому что сами нарушили закон, приобретая незаконные товары в даркнете.
