Модифицированная версия Tor Browser шпионит за китайскими пользователями

Исследователи Лаборатории Касперского обнаружили модифицированную версию браузера Tor , которая собирает конфиденциальные данные о китайских пользователях.

По словам экспертов, собираемые данные включают в себя:

• историю просмотра;
• данные, введенные в формы веб-сайтов;
• ID аккаунтов соцсетей;
• информацию о сети Wi-Fi.

Также были обнаружены шпионские программы, спрятанные в прилагаемой библиотеке, которая собирала дополнительную информацию:

• имя пользователя;
• местоположение компьютера;
• MAC-адреса сетевых адаптеров.

Особенностью вредоносного браузера является встроенные инструменты для выполнения команд оболочки, что дает злоумышленнику полный контроль над машиной.

По словам специалистов, злоумышленники могут искать в эксфильтрированных историях браузера следы незаконной деятельности, связываться с жертвами через соцсети и угрожать сообщить о них властям.

Поскольку веб-сайт Tor Browser заблокирован в Китае, жители Китая часто загружают Tor со сторонних веб-сайтов. В данном случае ссылка на вредоносный установщик Tor была размещена на популярном китайском YouTube канале, посвященном анонимности в Интернете. Видео было опубликовано в январе 2022 года, а первые жертвы кампании начали появляться в марте 2022 года.

Видео YouTube, которое распространяет вредоносную версию Tor

Вредоносный установщик Tor Browser был размещен на китайском облачном сервисе, и его интерфейс визуально был идентичен настоящему. Однако, у установщика не было цифровой подписи, а некоторые файлы отличались от оригинала.

Исследователи Лаборатории Касперского назвали эту кампанию OnionPoison и подтвердили, что злоумышленники нацелены на пользователей в Китае. Такой вывод сделан потому, что связаться с C&C сервером и получить DLL второго этапа можно только при подделке китайского IP-адреса.

Вне зависимости от мотивов хакера, лучший способ избежать заражения имплантатами OnionPoison — всегда скачивать ПО с официальных сайтов. Если скачать с официального сайта невозможно, то вместо этого нужно проверить подлинность установщиков, загруженных из сторонних источников, изучив их цифровые подписи.