Эксперты «Лаборатории Касперского» заметили популярный YouTube-канал на китайском языке, который использовался для распространения троянизированной версии установщика браузера Tor. Исследователи назвали эту кампанию OnionPoison и сообщают, что все ее жертвы находятся в Китае.

Дело в том, что браузер Tor запрещен в Китае, и пользователи часто используют сторонние сайты для загрузки установочных файлов. В данном случае ссылка на вредоносный установочный пакет была опубликована на популярном канале YouTube, посвященном анонимности в интернете.

У этого канала более 180 000 подписчиков, а количество просмотров видео с вредоносной ссылкой превышает 64 000. Ролик был опубликован в январе 2022 года, а первые жертвы кампании начали отображаться в телеметрии в марте 2022 года. С тех пор Google уже удалила видео за нарушение правил YouTube .

Эксперты рассказывают, что зараженная версия браузер сохраняла всю историю посещения сайтов и данные, вводимые в формы. Хуже того, одна из библиотек в пакете была заражена шпионским ПО, которое собирало персональные данные пользователей и отправляло их на управляющий сервер хакеров. Также шпионская программа предоставляла злоумышленникам контроль над зараженным компьютером, позволяя выполнять shell-команды.

Вероятно, жертвы кампании OnionPoison находили видео с вредоносной ссылкой через поиск на YouTube. Ролик появлялся в первой строке поисковой выдачи по запросу «Tor浏览器» («браузер Tor» на китайском языке). Описание видео содержало две ссылки: одна для перехода на официальный сайт Tor, а другая — для скачивания вредоносного установочного пакета, размещенного в китайском облачном файлообменнике. Так как оригинальный Tor запрещен в Китае, пользователям приходилось переходить в облачный сервис, чтобы скачать браузер.

Аналитики пишут, что DLL-библиотека второго этапа атака собирала следующую информацию о системе жертвы:

  • GUID дискового тома операционной системы;
  • GUID компьютера;
  • имя компьютера;
  • региональные настройки компьютера;
  • имя текущего пользователя;
  • MAC-адреса сетевых карт.

После сбора информации о системе, DLL начинает передавать сигнальные сообщения командному серверу каждые две минуты. Тело каждого сигнального сообщения содержит JSON-объект с собранной информацией. Сигнальные сообщения отправляются в виде POST-запросов по адресу https://torbrowser[.]io/metrics/heartbeat либо https://tor-browser[.]io/metrics/heartbeat. Тело запроса DLL зашифровывает с помощью псевдослучайного ключа по алгоритму AES-128 (ECB), который затем зашифровывает с помощью открытого ключа RSA, указанного в конфигурации.

В ответ на сигнальные сообщения управляющий сервер может запросить следующую дополнительную информацию:

  • установленное программное обеспечение;
  • запущенные процессы;
  • история браузера Tor;
  • история браузеров Google Chrome и Edge;
  • идентификаторы учетных записей WeChat и QQ, принадлежащих жертве;
  • SSID и MAC-адреса сетей Wi-Fi, к которым подключены жертвы.

Собранная дополнительная информация отправляется на управляющий сервер вместе со следующим сигнальным сообщением. Помимо этого, сервер может запросить выполнение произвольной shell-команды на зараженном компьютере.

Эксперты отмечают и один интересный факт: сайты управляющих серверов визуально идентичны сайту настоящего браузера Tor, а ссылки на скачивание браузера ведут на легитимный сайт Tor.

В отличие от большинства стилеров, модули OnionPoison не занимались автоматическим сбором паролей, cookie-файлов или данных кошельков пользователей. Вместо этого они воровали данные, которые позволяют узнать многое о личности жертвы: историю браузера, идентификаторы учетных записей в социальных сетях и данные сетей Wi-Fi. Эксперты полагают, что злоумышленники могли искать в собранной истории браузеров признаки незаконной деятельности, связываться с жертвами через социальные сети и угрожать сообщить властям.

Подписаться
Уведомить о
0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии