Специалисты по безопасности из компании Proofpoint провели расследование, ходе которого обнаружили, что прокси-сервис onion.top, через который можно получить доступ к сети Tor из обычного браузера, подменяет адреса биткоин-кошельков и ведёт себя аналогично программам-вымогателям LockeR, Sigma и GlobeImposter.

Сервис просматривает загружаемые через портал веб-страницы, выискивая на них строки, которые выглядят как адреса биткоин-кошельков, после чего заменяет такие строки на кошельки злоумышленников, — пояснили эксперты из ProofPoint.

В ходе анализа работы сервиса обнаружилось, что он работает по нескольким правилам подмены биткоин-кошельков, что явно указывает на ручную настройку под каждый конкретный сайт.

Пока выявлено два биткоин-кошелька, принадлежащих мошенникам, работающим через onion.top. Суммарно кошельки содержат около двух Биткоинов (около 22 тысяч долларов). После того как схема была рассекречена, операторы программы убрали ссылки на все прокси-серверы и посоветовали пользователям осуществлять оплату только через браузер Tor.