প্রায় ১০% টর এক্সিট নোড একটি SSH সংযোগ হাইজ্যাকিং আক্রমণে জড়িত ছিল।

এমন একটি ঘটনার বিবরণ প্রকাশিত হয়েছে, যেখানে আক্রমণকারীরা ৩৩৩টি টর এক্সিট নোডের (টরের মোট প্রায় ৩,০০০ এক্সিট নোড রয়েছে) নিয়ন্ত্রণ লাভ করে এবং সেগুলোকে এনক্রিপ্টবিহীন ট্র্যাফিক আটকানো ও এসএসএইচ (SSH) সংযোগ অন্য পথে চালিত করার জন্য ব্যবহার করে। আক্রমণটি ২ অক্টোবর (শুক্রবার সন্ধ্যায়) শুরু হলেও, ৪ অক্টোবর তা শনাক্ত হয় এবং ব্লক করা শুরু হয়। ৫ অক্টোবর, আক্রান্ত সমস্ত সার্ভার সেগুলোর অপারেটর বা আক্রমণকারীরা নিজেরাই বন্ধ করে দেয়। তদন্তে জানা গেছে যে, টর ব্যবহারকারীদের উপর আক্রমণের দুই মাস আগেই আক্রমণকারীরা সার্ভারগুলোতে প্রবেশাধিকার লাভ করে এবং আক্রান্ত সিস্টেমগুলোতে ইবারি ১.৮.৩ (Ebury 1.8.3) ম্যালওয়্যারটি ইনস্টল করে।

এই আক্রমণের লক্ষ্য ছিল এনক্রিপ্ট না করা ট্রানজিট ট্র্যাফিক থেকে পাসওয়ার্ড, কী এবং গোপনীয় তথ্য হস্তগত করা, সেইসাথে SSH পাসওয়ার্ড দখল করা। এনক্রিপ্ট না করা ট্র্যাফিক বিশ্লেষণ করার সময়, আক্রমণকারীরা মেইল ​​সার্ভারগুলিতে পাঠানো এনক্রিপ্ট না করা অনুরোধগুলির উপর মনোযোগ দিয়েছিল। এক্সিট নোডগুলিতে এনক্রিপ্ট না করা কার্যক্রমে ফিরে যেতে উৎসাহিত করার জন্য, মেইল ​​সার্ভারগুলির সাথে এনক্রিপ্ট করা যোগাযোগ স্থাপনের জন্য ব্যবহৃত নেটওয়ার্ক পোর্টগুলি ব্লক করে দেওয়া হয়েছিল। সার্ভারএনক্রিপ্ট না করা ট্র্যাফিক তাৎক্ষণিকভাবে বিশ্লেষণ করা হয়েছিল।

SSH পাসওয়ার্ড সংগ্রহ করার জন্য, SSH অনুরোধগুলোকে আক্রমণকারীদের ১২টি সার্ভারের একটিতে পাঠানো হয়েছিল। এই সার্ভারগুলো SSH সংযোগ গ্রহণ করত এবং আক্রমণকারীর পক্ষ থেকে পাসওয়ার্ড দেওয়ার জন্য অনুরোধ প্রদর্শন করত। সার্ভারযেটির সাথে সংযোগ স্থাপন করা হয়েছিল। যেহেতু হোস্ট কীগুলো মেলেনি, ক্লায়েন্ট সাইডের ssh একটি অজানা ঠিকানায় সংযোগ করার বিষয়ে সতর্কবার্তা জারি করে। সার্ভার.

যদি ব্যবহারকারী এই সতর্কতা উপেক্ষা করে সংযোগ করার জন্য পাসওয়ার্ড প্রবেশ করান, তাহলে ক্ষতিকারক সার্ভার একটি বৈধ টার্গেট SSH সার্ভারে সংযোগ স্থাপন করে, ভুক্তভোগীর দেওয়া পাসওয়ার্ডটি সংরক্ষণ করে এবং SSH সেশন সম্পর্কিত তথ্য হস্তগত করে। একই সময়ে, এটি হস্তগত করা পাসওয়ার্ড দিয়ে টার্গেট সার্ভারে সংযুক্ত হয় এবং সেখানে Ebury ম্যালওয়্যারটি ইনস্টল করে। এর নিয়ন্ত্রণ লাভ করে... Linuxযে সার্ভারগুলো টর এক্সিট নোড ছিল না, আক্রমণকারীরা torrc ফাইলের সেটিং পরিবর্তন করে সেগুলোকে নতুন ক্ষতিকর টর এক্সিট নোডে পরিণত করেছিল।

সমস্ত ক্ষতিকারক এক্সিট নোড শনাক্ত করতে, সমস্যাটি আবিষ্কারকারী গবেষক এক্সিটম্যাপ ইউটিলিটি ব্যবহার করে সমস্ত এক্সিট নোডের তালিকা তৈরি করেন, প্রতিটির মাধ্যমে একটি SSH সংযোগ স্থাপন করেন এবং অনুরোধটি পুনঃনির্দেশিত হয়েছে কিনা তা যাচাই করেন। আক্রমণকারীরা ঠিক কীভাবে হাইজ্যাক করা টর নোডগুলিতে প্রবেশাধিকার পেয়েছিল তা এখনও অস্পষ্ট, তবে কেউ কেউ অন্যান্য বিষয়ের পাশাপাশি বিভিন্ন জল্পনা-কল্পনা করেছেন।
হোস্টিং অপারেটরদের আপস সংক্রান্ত অনুমান।

উত্স: opennet.ru