Cybercriminelen hebben via een kopie van de officiële Tor-website enige tijd een besmette versie van Tor Browser aangeboden, de software waarmee gebruikers eenvoudig via het Tor-netwerk kunnen surfen. Ook de gebruikte domeinnaam leek van het Tor Project te zijn, de ontwikkelaars van Tor Browser.

Beveiligingsonderzoeker Julien Voisin, die de website kreeg doorgestuurd, analyseerde de malware die computers voor verdere opdrachten verbinding met een Command & Control-server laat maken. Deze server was alleen via het Tor-netwerk toegankelijk. Voisin slaagde er zelfs in om contact met de malwaremaker te krijgen, die verrast was dat de onderzoeker hem had gevonden.

In een e-mailwisseling die volgde liet de malwaremaker weten dat ze eigenlijk een groep waren die pedofielen probeerde te vinden door links naar de valse website op fora voor pedofielen te verspreiden. Voisin zegt dit niet te geloven, aangezien de malwaremaker niet alleen malware in plaats van de echte Tor Browser verspreidde, maar ook de donatiepagina had aangepast en daar zijn eigen bitcoin-adres had neergezet.