Een Chineestalig YouTube-kanaal over online anonimiteit heeft de meer dan 180.000 volgers een video voorgeschoteld waarin wordt gelinkt naar een malafide versie van Tor Browser die onder andere persoonlijke informatie en browsegedrag verzamelt en terugstuurt naar de aanvaller en die ook volledige controle over het besmette systeem geeft. Dat laat antivirusbedrijf Kaspersky in een analyse weten.

In de beschrijving van de video over Tor Browser staan twee links. De eerste link wijst naar de officiële website van het Tor Project waar Tor Browser is te downloaden. Die website is echter geblokkeerd in China. De tweede link wijst naar een versie van Tor Browser die via een cloudopslagdienst wordt aangeboden. Het gaat hier echter om een versie van Tor Browser die voorzien is van spyware en zo is ingesteld dat de browser minder privacy biedt.

De aangepaste Tor Browser slaat de browsegeschiedenis namelijk op, schakelt caching van webpagina's in, slaat inloggegevens op en verzamelt extra sessiegegevens van bezochte website. Daarnaast worden verzamelde gegevens teruggestuurd naar de aanvallers. Het gaat onder andere om geïnstalleerde software, bezochte websites in Tor Browser, Chrome en Edge, gebruikers-id van WeChat- en QQ-accounts, en SSID's en MAC-adressen van wifi-netwerken waarmee het slachtoffer is verbonden of ooit verbinding heeft gemaakt.

Verder is het mogelijk voor de aanvallers om via de malafide browser commando's op het systeem van het slachtoffer uit te voeren. De aanvallers lijken het daarbij specifiek te hebben voorzien op Chinese gebruikers, aangezien één van de malafide dll-bestanden waarmee de aanvallers toegang krijgen alleen op computers met een Chinees ip-adres wordt gedownload. Om dergelijke malware te voorkomen wordt gebruikers aangeraden om software alleen via de officiële website van de leverancier te downloaden.