Objavljeni su detalji incidenta u kojem su napadači dobili kontrolu nad 333 Tor izlazna čvora (Tor ukupno ima približno 3000 izlaznih čvorova) i koristili ih za presretanje nešifriranog prometa i preusmjeravanje SSH veza. Napad je započeo 2. oktobra (petak navečer), ali je otkriven i blokiranje je počelo 4. oktobra. 5. oktobra svi kompromitovani serveri su isključeni od strane njihovih operatera ili samih napadača. Istraga je otkrila da su napadači dobili pristup serverima dva mjeseca prije napada na Tor korisnike i instalirali zlonamjerni softver Ebury 1.8.3 na kompromitovane sisteme.
Cilj napada bio je presretanje lozinki, ključeva i povjerljivih informacija u nešifriranom tranzitnom prometu, kao i hvatanje SSH lozinki. Prilikom analize nešifriranog prometa, napadači su se fokusirali na nešifrirane zahtjeve prema mail serverima. Kako bi se potaknuo povratak na nešifrirani rad na izlaznim čvorovima, blokirani su mrežni portovi koji se koriste za uspostavljanje šifrirane komunikacije s mail serverima. serveriNešifrirani promet je analiziran u hodu.
Da bi se prikupile SSH lozinke, SSH zahtjevi su preusmjereni na jedan od 12 servera napadača. Ovi serveri su prihvatali SSH veze i prikazivali upit za lozinku u ime server, na koji je uspostavljena veza. Pošto se ključevi hosta nisu podudarali, ssh na strani klijenta je izdao upozorenje o povezivanju na nepoznati server.
Ako je korisnik ignorisao ovo upozorenje i unio lozinku za povezivanje, onda je zlonamjerni server preusmjerio je vezu s legitimnim ciljnim SSH serverom, pohranio lozinku koju je žrtva unijela i presreo informacije o SSH sesiji. Istovremeno, povezao se s ciljnim serverom pomoću snimljene lozinke i na njega instalirao zlonamjerni softver Ebury. Preuzimajući kontrolu nad Linux-serverima koji nisu bili Tor izlazni čvorovi, napadači su promijenili postavke u torrc datoteci i pretvorili ih u nove zlonamjerne Tor izlazne čvorove.
Da bi identificirao sve zlonamjerne izlazne čvorove, istraživač koji je otkrio problem koristio je uslužni program exitmap za nabrajanje svih izlaznih čvorova, uspostavljanje SSH veze kroz svaki od njih i provjeru da li je zahtjev preusmjeren. Kako su tačno napadači dobili pristup otetim Tor čvorovima ostaje nejasno, ali neki su, između ostalog, nagađali.
pretpostavke o kompromitovanju hosting operatera.
izvor: opennet.ru
