Прокси-сервис для доступа к Tor осуществляет подмену адресов биткоин-кошельков

Прокси-сервис onion.top,  позволяющий получить доступ к сети Tor из обычного браузера, занимается подменой адресов биткоин-кошельков на сайтах вымогателей.

Эксперты компании Proofpoint обнаружили, что сервис тайно анализирует загружаемые через портал web-страницы на предмет строк, выглядящих как адреса биткоин-кошельков, после чего заменяет их одним из кошельков операторов сервиса. Подобное поведение было замечено на сайтах программ-вымогателей LockeR, Sigma и GlobeImposter.

В ходе анализа, эксперты также обнаружили, что в сервисе присутствуют различные «правила замены» биткоин-кошельков, свидетельствующие о том, что операторы вручную настроили адреса для каждого отдельного сайта. В общей сложности было выявлено два адреса биткоин-кошельков, принадлежащих операторам onion.top. Суммарно на кошельках хранится не более 2 биткоинов (порядка $22 тыс.).

Операторы вымогательского ПО приняли во внимание происходящее и убрали ссылки на все прокси-сервисы из своих программ, рекомендуя жертвам осуществлять оплату только через браузер Tor. А некоторые, как например владельцы программы-вымогателя LockeR, приняли дополнительные меры предосторожности, прямо предупреждая жертв не использовать сервис onion.top:

Напомним, что, по данным компании FireEye, киберпреступники все чаще направляют атаки на держателей биткоинов и криптовалютные биржи Азиатско-Тихоокеанского региона. Эксперты компании Group-IB также считают, что хакеры будут переключать внимание с банков на криптовалютный рынок — удачная атака на нем приносит больше денег.