نُشرت تفاصيل حادثة تمكن فيها مهاجمون من السيطرة على 333 عقدة خروج من شبكة تور (يبلغ إجمالي عدد عقد الخروج في تور حوالي 3000 عقدة)، واستخدموها لاعتراض حركة البيانات غير المشفرة وإعادة توجيه اتصالات SSH. بدأ الهجوم في 2 أكتوبر (مساء الجمعة)، ولكن تم اكتشافه وبدأ حظره في 4 أكتوبر. وفي 5 أكتوبر، تم إغلاق جميع الخوادم المخترقة من قِبل مشغليها أو المهاجمين أنفسهم. وكشف التحقيق أن المهاجمين تمكنوا من الوصول إلى الخوادم قبل شهرين من الهجوم على مستخدمي تور، وقاموا بتثبيت برمجية Ebury 1.8.3 الخبيثة على الأنظمة المخترقة.
كان هدف الهجوم اعتراض كلمات المرور والمفاتيح والمعلومات السرية في حركة البيانات غير المشفرة، بالإضافة إلى سرقة كلمات مرور SSH. عند تحليل حركة البيانات غير المشفرة، ركز المهاجمون على الطلبات غير المشفرة الموجهة إلى خوادم البريد. ولتشجيع العودة إلى التشغيل غير المشفر على نقاط الخروج، تم حظر منافذ الشبكة المستخدمة لإنشاء اتصال مشفر مع خوادم البريد. الخوادمتم تحليل حركة البيانات غير المشفرة بشكل فوري.
لجمع كلمات مرور SSH، تم توجيه طلبات SSH إلى أحد خوادم المهاجمين الاثني عشر. قبلت هذه الخوادم اتصالات SSH وعرضت مطالبة بكلمة المرور نيابةً عن الخادم، الذي تم الاتصال به. ولأن مفاتيح المضيف لم تتطابق، أصدر برنامج SSH على جانب العميل تحذيرًا بشأن الاتصال بخادم غير معروف. الخادم.
إذا تجاهل المستخدم هذا التحذير وأدخل كلمة المرور للاتصال، فسيتم اختراقه من قبل جهة خبيثة. الخادم قام البرنامج الخبيث بإعادة توجيه الاتصال إلى خادم SSH شرعي، وتخزين كلمة المرور التي أدخلها الضحية، واعتراض معلومات حول جلسة SSH. وفي الوقت نفسه، اتصل بالخادم المستهدف باستخدام كلمة المرور المسروقة، وقام بتثبيت برمجية Ebury الخبيثة عليه. ومن خلال السيطرة على Linux-الخوادم التي لم تكن عقد خروج Tor، قام المهاجمون بتغيير الإعدادات في ملف torrc وحولوها إلى عقد خروج Tor خبيثة جديدة.
لتحديد جميع نقاط الخروج الخبيثة، استخدم الباحث الذي اكتشف المشكلة أداة exitmap لحصر جميع نقاط الخروج، وإنشاء اتصال SSH عبر كل منها، والتحقق من إعادة توجيه الطلب. ولا يزال من غير الواضح كيف تمكن المهاجمون من الوصول إلى نقاط Tor المخترقة، لكن البعض تكهن، من بين أمور أخرى.
افتراضات حول اختراق شركات الاستضافة.
المصدر: opennet.ru
