2022. január 9-én került feltöltésre egy hongkongi YouTube csatornára az a videó, amelynek leírásában a Tor böngésző telepítőjének egy rosszindulatú verzióját terjesztik. A csatornának 181 000 feliratkozója van, a videót pedig – ami a cikk írásának pillanatában is megtekinthető volt a YouTube-on ezidáig már 64 500 alkalommal látták.
A Kaspersky OnionPoison-ként hivatkozik a támadásra, amely során igyekeznek rávenni azokat a gyanútlan áldozatokat a Tor böngésző rosszindulatú verziójának telepítésére, akik rákeresnek a „Tor浏览器”, vagyis a Tor böngészőre kínaiul, ugyanis annak használata meg tiltott az országban. A linkre kattintva egy 74 MB-os fájlhoz irányítja a felhasználókat, ami a telepítést követően hozzáfér az áldozat böngészési előzményeihez és az online űrlapok során megadott adataihoz. Ezen kívül további kémprogramokat telepít az eszközre, ami különféle személyes adatokat gyűjt a felhasználóról és elküldi azokat egy parancs- és vezérlőszervernek. A rosszindulatú freebl3.dll ezt úgy éri el, hogy kapcsolatba lép egy távoli szerverrel, ami a kémprogram telepítőjével válaszol, de kizárólag csak abban az esetben, ha az áldozat IP címe Kínából való.
A támadási módszer hasonlít egy korábbi támadáshoz, amely során a gyanútlan játékosokat irányították olyan videókhoz, amelyek rosszindulatú archív fájlokra mutató hivatkozásokat tartalmaztak, és amelyekkel információlopó és kriptobányász programokat terjesztettek. A Google azóta megszüntette az erre használt feltört videócsatornákat.
