Международная антивирусная компания ESET обнаружила вредоносную кампанию, нацеленную на русскоязычных пользователей. Киберпреступники несколько лет распространяли зараженный браузер Tor, используя его для слежки за пользователями и кражи их биткоинов.

Преступники распространяли троянизированный браузер на различных форумах, а также на сайте pastebin.com в качестве официальной русскоязычной версии Tor Browser.

Перейдя на одну из фишинговых страниц, пользователь получал предупреждение о необходимости скачать новую версию браузера Tor. После установки троянизированная версия Tor Browser становилась полностью функциональным приложением. 

Одним из изменений стала блокировка функции обновления — обновленный браузер потерял бы нужный преступникам функционал. Отключалась и проверка цифровой подписи дополнений, что позволяло атакующим вносить изменения в любой аддон. Преступники также внесли определенные изменения для оповещения командного сервера о посещаемых жертвой страницах.

Обнаруженный ESET вредоносный компонент был нацелен на три крупнейших торговых площадки в русскоязычном сегменте даркнета. Этот компонент пробовал изменить адреса кошельков платежной системы QIWI. Троянизированная версия Tor автоматически подменяла оригинальный адрес биткоин-кошелька на адрес преступников, когда жертва пыталась оплатить покупку биткоинами. 

В ходе расследования эксперты ESET обнаружили три биткоин-кошелька со множеством мелких транзакций. Общая сумма переведенных на эти кошельки средств составила 4,8 биткоина, что соответствует примерно 2,5 млн рос. рублей.