假冒的Tor Browser到暗网偷窃比特币

资安业者ESET本周警告，骇客在各大地下论坛推销专门用来造访暗网的Tor Browser浏览器，却在该浏览器中动了手脚，当受害者造访俄罗斯暗网市集并执行交易时，便偷偷地把市集中的加密货币钱包换成骇客的钱包，从2017年到现在，总计窃取了4.8个比特币，获利约4万美元。

根据ESET的调查，骇客申请了两个类似Tor官网的网址：tor-browser.org与torproect.org，这两个网站都是采用俄文，并在地下论坛里推销Tor浏览器的优点，再将使用者导向tor-browser.org，在该网站上警告使用者的浏览器过期了，应该要下载最新的版本，再引导使用者至torproect.org下载。

然而，torproect.org所存放的Tor浏览器，是2018年1月所释出的Tor Browser 7.5，这个有毒的浏览器以标准的Tor浏览器为基础，但窜改了一些浏览器的预设设定与扩充程式，例如关闭了所有的更新；让所有受害者都使用同样的代理人；关闭安装扩充程式所要求的数位签章功能；还变更HTTPS Everywhere扩充程式的设定，以允许载入与执行特定的脚本程式。

该脚本程式可通知远端服务器有关使用者正在造访的网页，还能下载额外的JavaScript酬载，此一酬载则能抓取表单、隐藏或注射内容，还能显示伪造的讯息。

骇客锁定了3个最大的俄文暗网市集，以该JavaScript酬载变更加密货币交易服务QIWI或网页上所呈现的加密货币钱包的位址，将受害者所存入的比特币转到骇客所掌控的3个账号中。

两个伪造的Tor官网是在2014年就成立了，而骇客的加密钱包则是在2017年申请，ESET追踪发现骇客的加密钱包已经累积了价值超过4万美元的4.8个比特币，但若从其它的时间点来看，相信骇客的不法所得超过此一数字。

总之，有许多案例都在提醒使用者，下载任何软件最好自己搜寻官网，而不要轻信各式网站上所张贴的连结。