El navegador Tor falso lleva años espiando y robando Bitcoin

Los piratas informáticos han estado distribuyendo una versión comprometida del navegador oficial Tor que está repleta de herramientas maliciosas utilizadas para espiar a los usuarios y robar sus Bitcoin.

Descubierto por investigadores de la empresa de seguridad informática ESET, el troyanizado Tor aparentemente ha provocado la pérdida de una cantidad relativamente pequeña de Bitcoin hasta la fecha, con fondos tomados mediante intercambio de direcciones cuando los usuarios intentan pagar en los Mercados de la red oscura.

En un anuncio enviado por correo electrónico a CoinDesk el viernes, el investigador senior de malware de ESET, Anton Cherepanov, dijo que la investigación había identificado tres billeteras de Bitcoin utilizadas por los piratas informáticos desde 2017.

«Cada una de estas billeteras contiene una cantidad relativamente grande de transacciones pequeñas; consideramos que esto confirma que estas billeteras fueron efectivamente utilizadas por el navegador troyanizado Tor», explicó Cherepanov.

Al momento de completarse la investigación, las tres billeteras habían recibido 4,8 Bitcoin (por un valor de USD 38.700 al momento de la publicación), aunque ESET dijo que la cantidad real robada sería mayor ya que las billeteras del servicio de pagos ruso QIWI también están apuntadas.

La campaña de piratería ha estado dirigida a los usuarios de habla rusa de Tor, una red diseñada para KEEP las identidades ocultas para evitar el seguimiento y la vigilancia.

Los cibercriminales detrás del falso navegador Tor han estado utilizando foros y pastebin.com para distribuir su oferta como la versión oficial de la aplicación en idioma ruso.

"Su objetivo era atraer a objetivos de un idioma específico a un par de sitios web maliciosos, pero de apariencia legítima", dijo ESET.

En el primer sitio web, el usuario recibe una alerta de que su navegador Tor está desactualizado, aunque no sea cierto. Los visitantes engañados por el mensaje son redirigidos a un segundo sitio web con un instalador de la aplicación falsa.

Una vez instalado, el navegador infectado permite a sus creadores saber qué sitios web visita un usuario, modificar la información de las páginas visitadas y obtener el contenido de los formularios de datos. Si bien los hackers podrían mostrar información falsa a los usuarios, solo se ha observado que el navegador modifica las direcciones de la billetera para robar Bitcoin, afirmó Cherepanov.

Colinaimagen vía Shutterstock