Поддельный браузер Tor шпионил и воровал Bitcoin «уже много лет»

Хакеры распространяют взломанную версию официального браузера Tor, которая наполнена вредоносными инструментами, используемыми как для слежки за пользователями, так и для кражи их Bitcoin.

Обнаруженный исследователями из компании ESET, занимающейся ИТ-безопасностью, троянизированный Tor, по-видимому, привел к потере относительно небольшого количества Bitcoin на сегодняшний день, при этом средства были украдены путем подмены адресов, когда пользователи пытались заплатить на Рынки даркнета.

В сообщении, отправленном по электронной почте CoinDesk в пятницу, старший исследователь вредоносного ПО компании ESET Антон Черепанов сообщил, что в ходе исследования было выявлено три Bitcoin кошелька, которые хакеры использовали с 2017 года.

«Каждый такой кошелек содержит относительно большое количество мелких транзакций; мы считаем это подтверждением того, что эти кошельки действительно использовались троянизированным браузером Tor», — пояснил Черепанов.

На момент завершения исследования на три кошелька поступило 4,8 Bitcoin (стоимостью 38 700 долларов США на момент публикации статьи), хотя в ESET заявили, что фактическая украденная сумма будет выше, поскольку атаке подверглись также кошельки российского платежного сервиса QIWI.

Хакерская кампания была направлена ​​против русскоязычных пользователей Tor — сети, предназначенной для KEEP личности во избежание отслеживания и наблюдения.

Киберпреступники, стоящие за поддельным браузером Tor, использовали форумы и pastebin.com для распространения своего предложения под видом официальной русскоязычной версии приложения.

«Их цель состояла в том, чтобы заманить целевых пользователей, говорящих на конкретных языках, на пару вредоносных, но выглядящих легитимно веб-сайтов», — заявили в ESET.

На первом сайте пользователь получает оповещение о том, что его Tor Browser устарел, даже если это неправда. Посетители, обманутые сообщением, затем перенаправляются на второй сайт с установщиком поддельного приложения.

После установки браузер с вредоносным ПО позволяет своим создателям узнать, какие сайты посещает пользователь, изменять данные о посещенных страницах и захватывать содержимое форм данных. Хотя хакеры потенциально могут отображать пользователям ложную информацию, браузер был замечен только в изменении адресов кошельков с целью кражи Bitcoin, сказал Черепанов.

Торизображение через Shutterstock