Hücumçuların 333 Tor çıxış qovşağına nəzarəti ələ keçirdiyi (Tor-un ümumilikdə təxminən 3000 çıxış qovşağı var) və onlardan şifrələnməmiş trafiki ələ keçirmək və SSH əlaqələrini yönləndirmək üçün istifadə etdiyi bir hadisənin təfərrüatları dərc edilib. Hücum 2 oktyabrda (cümə axşamı) başladı, lakin aşkar edildi və 4 oktyabrda bloklanmağa başladı. 5 oktyabrda bütün pozulmuş serverlər operatorları və ya hücumçuların özləri tərəfindən bağlandı. Araşdırma nəticəsində məlum oldu ki, hücumçular Tor istifadəçilərinə hücumdan iki ay əvvəl serverlərə giriş əldə ediblər və pozulmuş sistemlərə Ebury 1.8.3 zərərli proqramını quraşdırıblar.
Hücumun məqsədi şifrələnməmiş tranzit trafikindəki parolları, açarları və məxfi məlumatları ələ keçirmək, eləcə də SSH parollarını ələ keçirmək idi. Şifrələnməmiş trafiki təhlil edərkən hücum edənlər poçt serverlərinə göndərilən şifrələnməmiş sorğulara diqqət yetirirdilər. Çıxış qovşaqlarında şifrələnməmiş əməliyyata qayıtmağı təşviq etmək üçün poçt serverləri ilə şifrələnmiş rabitə qurmaq üçün istifadə edilən şəbəkə portları bloklandı. serverlərŞifrələnməmiş trafik dərhal təhlil edildi.
SSH parollarını toplamaq üçün SSH sorğuları hücumçuların 12 serverindən birinə yönləndirildi. Bu serverlər SSH bağlantılarını qəbul etdi və adından parol sorğusu göstərdi. server, bağlantının qurulduğu yer. Host açarları uyğun gəlmədiyi üçün klient tərəfindəki ssh naməlum birinə qoşulma barədə xəbərdarlıq etdi. server.
Əgər istifadəçi bu xəbərdarlığı qulaqardına vurub qoşulmaq üçün parol daxil edibsə, zərərli proqram server qanuni hədəf SSH serverinə bağlantı ötürdü, qurbanın daxil etdiyi parolu saxladı və SSH sessiyası haqqında məlumatı ələ keçirdi. Eyni zamanda, ələ keçirilən parolla hədəf serverə qoşuldu və üzərinə Ebury zərərli proqramını quraşdırdı. Nəzarəti ələ keçirərək LinuxTor çıxış qovşaqları olmayan serverlərdə, təcavüzkarlar torrc faylındakı parametrləri dəyişdirərək onları yeni zərərli Tor çıxış qovşaqlarına çevirdilər.
Problemi aşkar edən tədqiqatçı bütün zərərli çıxış qovşaqlarını müəyyən etmək üçün exitmap yardım proqramından istifadə edərək bütün çıxış qovşaqlarını sadaladı, hər biri vasitəsilə SSH bağlantısı qurdu və sorğunun yönləndirildiyini yoxladı. Hücumçuların ələ keçirilmiş Tor qovşaqlarına necə giriş əldə etdikləri hələ də məlum deyil, lakin bəziləri, digər şeylərlə yanaşı, fərziyyələr irəli sürüb.
Hostinq operatorlarının güzəştə getməsi ilə bağlı fərziyyələr.
Mənbə: opennet.ru
