Выяснилось, что в течение более чем 16 месяцев злоумышленник добавляет вредоносные серверы в сеть TOR, чтобы перехватывать трафик и выполнять атаки на компьютеры пользователей, посещающих сайты, связанные с криптовалютой. Атаки начались в январе 2020 года.
Вредоносные серверы идентифицируют трафик, направленный на ресурсы, связанные с криптовалютами, и выполняют атаку с удалением SSL, при которой уровень шифрования трафика понижается с HTTPS до HTTP. Предполагается, что злоумышленник понижает уровень безопасности до HTTP, чтобы подменить адреса ресурсов, связанных с криптовалютой, и перехватить транзакции.
Об этих атаках известно уже некоторое время. Впервые они были описаны в августе прошлого года исследователем безопасности и оператором узла TOR, известным под никнеймом Nusenu. Тогда он сказал, что злоумышленнику удалось трижды наводнить сеть TOR своими вредоносными серверами. При этом объём созданной им инфраструктуры достиг 23 процента от всего объёма сети TOR, прежде чем команда TOR её отключила.
В новом исследовании Nusenu говорит, что, несмотря на то, что проводимые им манипуляции разоблачены, злоумышленник продолжает совершать атаки. Предыдущие попытки перехвата пользовательских данных, предпринятые хакером, были обнаружены спустя недели или даже месяцы после того, как они были запущены.
Сейчас злоумышленник сменил тактику и не пытается запускать все серверы одновременно, чтобы не привлекать внимание к своей деятельности. По словам Nusenu, вредоносные серверы хакера сейчас контролируют от 4 до 6 процентов всей сети TOR.
