De Russische Tor-node die onlangs werd ontdekt en malware aan downloads toevoegde, blijkt een Trojaans paard te hebben verspreid dat voor gerichte aanvallen was bedoeld. Daarnaast werd de malware ook verspreid via geïnfecteerde torrents, zo meldt het Finse anti-virusbedrijf F-Secure.

Het verkeer van Tor-gebruikers loopt via verschillende nodes, ook wel relays genoemd, die de locatie van de gebruiker verbergen. De laatste node is de exitnode die het verzoek van de gebruiker naar het internet doorstuurt en het antwoord terugstuurt. In het geval van de kwaadaardige Tor-exitnode werden downloads van Tor-gebruikers vervangen door een "wrapper". Deze wrapper bevatte het originele bestand en het Trojaanse paard.

Zodra de gebruiker de download opende werden zowel het Trojaanse paard als het originele bestand geïnstalleerd, waardoor de gebruiker dacht dat alles prima was verlopen. Aan de hand van de gevonden malware-exemplaren stelt F-Secure dat de aanvallers achter de malware al sinds oktober 2013 op deze manier bestanden van malware voorzien.

Sinds februari van dit jaar zou de malware zich ook op een andere manier verspreiden, namelijk torrent-bestanden. De malware werd aan illegale software toegevoegd die via torrent-sites werd aangeboden. Een opmerkelijk iets, aangezien dit twee compleet verschillende verspreidingsstrategieën zijn. "Hoewel Tor helpt om je anoniem te blijven, maakt het ook een groot doelwit van je. Het is nooit een goed idee om bestanden via Tor, of andere manieren, zonder encryptie te downloaden", aldus F-Secure.