深度追踪：最新APT恶意软件OnionDuke正在通过Tor网

伪造的Tor节点恶意篡改用户流量

Tor是一个可以让你匿名上网的免费软件，它把请求加密并在大量计算机之间传送之后，再通过出口节点解密请求并发送到目标地址，通常这些出口节点有上千个之多。

这些成千上万的节点中，中间节点是无法获取用户的网络流量的，因为流量在中间节点传输时是加密的，但是如果攻击者控制了出口节点，那么他就可以很轻易地监听到用 户的流量。而且，Tor的节点都是由志愿者构成，其中一般是匿名的，这些节点也可以轻易的被替换。如果出口节点被替换，那么你的网络流量就尽在掌控了。

这些伪造节点背后的组织可能已经持续篡改流量传播、恶意软件超过一年了，受害者们下载篡改后的软件就会自动运行一个后门程序，通过这个程序，黑客可以完全控制他们的系统。

上个月来自利维坦安全组(LeviathanSecurityGroup)的JoshPitts发现了一个恶意的Tor出口节点，这个节点在Windows可执行程序中加入另一个恶意Windows程序并打包。但当F-Secure研究员ArtturiLehtiö展开深度调查时，他发现这个Tor出口节点与臭名昭著的俄罗斯APT软件MiniDuke有关。