Besonderhede is gepubliseer van 'n voorval waarin aanvallers beheer verkry het oor 333 Tor-uitgangsnodusse (Tor het ongeveer 3 000 uitgangsnodusse in totaal) en dit gebruik het om ongeënkripteerde verkeer te onderskep en SSH-verbindings te herlei. Die aanval het op 2 Oktober (Vrydagaand) begin, maar is op 4 Oktober opgespoor en het begin blokkeer. Op 5 Oktober is alle gekompromitteerde bedieners deur hul operateurs of die aanvallers self afgeskakel. 'n Ondersoek het aan die lig gebring dat die aanvallers twee maande voor die aanval op Tor-gebruikers toegang tot die bedieners verkry het en die Ebury 1.8.3-wanware op die gekompromitteerde stelsels geïnstalleer het.
Die doel van die aanval was om wagwoorde, sleutels en vertroulike inligting in ongeënkripteerde transitoverkeer te onderskep, asook om SSH-wagwoorde vas te lê. By die ontleding van ongeënkripteerde verkeer het die aanvallers gefokus op ongeënkripteerde versoeke aan posbedieners. Om terugkeer na ongeënkripteerde werking op uitgangsnodusse aan te moedig, is netwerkpoorte wat gebruik word om geënkripteerde kommunikasie met posbedieners te vestig, geblokkeer. bedienersOngeënkripteerde verkeer is onmiddellik geanaliseer.
Om SSH-wagwoorde in te samel, is SSH-versoeke na een van die aanvallers se 12 bedieners herlei. Hierdie bedieners het SSH-verbindings aanvaar en 'n wagwoordaanwysing namens vertoon. bediener, waarmee die verbinding gemaak is. Aangesien die gasheersleutels nie ooreengestem het nie, het ssh aan die kliëntkant 'n waarskuwing uitgereik oor die verbinding met 'n onbekende bediener.
As die gebruiker hierdie waarskuwing geïgnoreer het en die wagwoord ingevoer het om te koppel, dan is die kwaadwillige bediener het 'n verbinding na 'n wettige teiken SSH-bediener oorgedra, die wagwoord wat deur die slagoffer ingevoer is, gestoor en inligting oor die SSH-sessie onderskep. Terselfdertyd het dit met die vasgelegde wagwoord aan die teikenbediener gekoppel en die Ebury-wanware daarop geïnstalleer. Deur beheer te verkry oor Linux-bedieners wat nie Tor-uitgangsnodusse was nie, het die aanvallers die instellings in die torrc-lêer verander en dit in nuwe kwaadwillige Tor-uitgangsnodusse omskep.
Om alle kwaadwillige uitgangsknope te identifiseer, het die navorser wat die probleem ontdek het, die exitmap-hulpprogram gebruik om alle uitgangsknope op te som, 'n SSH-verbinding deur elkeen te vestig en te verifieer dat die versoek herlei is. Hoe presies die aanvallers toegang tot die gekaapte Tor-knope verkry het, bly onduidelik, maar sommige het onder andere gespekuleer.
aannames oor die kompromie van gasheeroperateurs.
Bron: opennet.ru
