Специалисты «Лаборатории Касперского» рассказали о масштабной вредоносной кампании похищения криптовалюты с помощью вредоносных браузеров Tor. Этот браузер служит для посещения сайтов в анонимной сети, которые не индексируются поисковыми системами и недоступны для посещения с обычных браузеров. Также Tor скрывает IP-адрес пользователя и шифрует исходящий трафик. Это позволяет, сохраняя анонимность, посещать и обычные вебсайты, обходя, например, различные блокировки.

Вероятно, по этой причине, браузер Tor весьма популярен в России: согласно данным Tor Project, в 2021 году наша страна занимала второе место в мире по числу пользователей Tor – более 300 тысяч ежедневно или 15% от всего числа пользователей. С конца 2021 года сайт самого Tor в России заблокирован. Это подталкивает многих пользователей загружать ПО со сторонних ресурсов, чем и воспользовались злоумышленники. Исследователи «Лаборатории Касперского» за период с августа 2022 по февраль 2023 годов обнаружили порядка 16 тысяч вредоносных установщиков браузера Tor.

Киберпреступники сохранили функциональность браузера, однако «дополнили» его весьма известной, но от этого не менее эффективной уловкой – возможностью подмены адресов криптовалютных кошельков. Эти адреса чрезвычайно длинны и запомнить их просто невозможно. По этой причине пользователи при совершении транзакций просто копируют адрес в буфер обмена, а затем вставляют в соответствующей программе. На это и рассчитана мошенническая операция. Как только в буфере обмена оказывается комбинация, сходная с адресом криптовалютного кошелька, она подменяется адресом кошелька, принадлежащего хакерам. При этом в памяти вредоносного ПО хранится порядка тысячи таких адресов, которые подставляются абсолютно произвольным образом. Это чрезвычайно затрудняет отслеживание транзакций и блокировку принадлежащих преступникам кошельков.

В результате злоумышленники уже смогли похитить свыше 400 тысяч долларов только в криптовалюте биткойн, данных о других криптовалютах просто нет. Вредоносные Tor-браузеры обнаружены в США, Китае, Германии, Франции, Великобритании и Нидерландах, однако львиная доля всех установок приходится на Россию и страны Восточной Европы. Чтобы убедиться, что ваш браузер в безопасности, достаточно проделать весьма простую процедуру: нужно скопировать в буфер обмена псевдоадрес bc1heymalwarehowaboutyoureplacethisaddress – а затем вставить его в текстовый файл. Если адрес изменится, вам необходимо срочно удалить свой браузер Tor и тщательно проверить устройство на наличие вредоносного ПО.