今回新しく発見されたトロイの木馬化したTorブラウザは、ロシア語バージョンの正規のTorブラウザを提供するという2つのWebサイトを利用して配布されていました。第一のブラウザは、ユーザーがWebサイトにアクセスすると、バージョンの古いTorブラウザを使っている、というメッセージをロシア語で表示します。そのメッセージは、たとえユーザーが最新バージョンのTorブラウザを使用していても表示されます。

「Torブラウザをアップデートする」ボタンを押すと、ユーザーは次のWebサイトにリダイレクトされ、Windowsインストーラーがダウンロードされます。Linuxや、macOS、モバイル版を配布した形跡は確認されていません。

2018年の3月、4月には、このサイバー犯罪者はpastebin.comというWebサービスを使って、偽のTorブラウザWebページに関する2つのドメインを宣伝するようになりました。具体的には、4つのアカウントを作り、ドラッグ、暗号通貨、検閲回避、ロシアの政治家の名前など、検索エンジンが上位に検索結果を表示するように最適化されたトピックを含む、多くのペースト文字列を作っていました。

このアイデアは、ユーザーが特定のキーワードでオンライン検索する際に、このペースト文字列を閲覧することを狙っています。そしてこのようなペースト文字列には、どれも偽のWebサイトを宣伝するためのヘッダーが設定されています。

このサイバー犯人はこのバージョンのTorブラウザがアンチキャプチャ機能を実装していると言いますが、それは事実ではありません。

この挿入されたスクリプトは、C&Cサーバーに現在のWebページアドレスを通知し、JavaScriptペイロードをダウンロードし、閲覧中のページで実行します。C&Cサーバーはonionのドメインに存在するので、Torを通してのみアクセスすることができます。

アカウントにビットコインペイメントを使って直接入金するために、ユーザーが自身のプロフィールページを開くと、トロイの木馬化されたTorブラウザは、元のアドレスを、サイバー犯罪者によって管理されるアドレスに自動的に入れ替えます。

ESETの調査では、2017年からこの犯行で使われてきた3つのビットコインウォレットを特定しました。そのようなウォレットは相対的に見て、多くの少額の取引を行っています。つまり、これらのウォレットはたしかにトロイの木馬化されたTorブラウザによって使われていた可能性があるということです。