Браузер Tor может использоваться для незаконной деятельности, именно на это опираются злоумышленники.
https://www.securitylab.ru/upload/ib...ktzud4tczz.jpg
Исследователи Лаборатории Касперского обнаружили модифицированную версию браузера Tor , которая собирает конфиденциальные данные о китайских пользователях.
По словам экспертов, собираемые данные включают в себя:<ul><li>историю просмотра;</li>
</ul><ul><li>данные, введенные в формы веб-сайтов;</li>
</ul><ul><li>ID аккаунтов соцсетей;</li>
</ul><ul><li>информацию о сети Wi-Fi.</li>
</ul>Также были обнаружены шпионские программы, спрятанные в прилагаемой библиотеке, которая собирала дополнительную информацию:<ul><li>имя пользователя;</li>
</ul><ul><li>местоположение компьютера;</li>
</ul><ul><li>MAC-адреса сетевых адаптеров.</li>
</ul>Особенностью вредоносного браузера является встроенные инструменты для выполнения команд оболочки, что дает злоумышленнику полный контроль над машиной.
По словам специалистов, злоумышленники могут искать в эксфильтрированных историях браузера следы незаконной деятельности, связываться с жертвами через соцсети и угрожать сообщить о них властям.
Поскольку веб-сайт Tor Browser заблокирован в Китае, жители Китая часто загружают Tor со сторонних веб-сайтов. В данном случае ссылка на вредоносный установщик Tor была размещена на популярном китайском YouTube канале, посвященном анонимности в Интернете. Видео было опубликовано в январе 2022 года, а первые жертвы кампании начали появляться в марте 2022 года.
https://www.securitylab.ru/upload/im...t-img(554).png
Видео YouTube, которое распространяет вредоносную версию Tor
Вредоносный установщик Tor Browser был размещен на китайском облачном сервисе, и его интерфейс визуально был идентичен настоящему. Однако, у установщика не было цифровой подписи, а некоторые файлы отличались от оригинала.
Исследователи Лаборатории Касперского назвали эту кампанию OnionPoison и подтвердили, что злоумышленники нацелены на пользователей в Китае. Такой вывод сделан потому, что связаться с C&amp;C сервером и получить DLL второго этапа можно только при подделке китайского IP-адреса.
Вне зависимости от мотивов хакера, лучший способ избежать заражения имплантатами OnionPoison — всегда скачивать ПО с официальных сайтов. Если скачать с официального сайта невозможно, то вместо этого нужно проверить подлинность установщиков, загруженных из сторонних источников, изучив их цифровые подписи.