Έχουν δημοσιευτεί λεπτομέρειες για ένα περιστατικό κατά το οποίο οι εισβολείς απέκτησαν τον έλεγχο 333 κόμβων εξόδου Tor (το Tor έχει συνολικά περίπου 3000 κόμβους εξόδου) και τους χρησιμοποίησαν για να υποκλέψουν μη κρυπτογραφημένη κίνηση και να ανακατευθύνουν συνδέσεις SSH. Η επίθεση ξεκίνησε στις 2 Οκτωβρίου (Παρασκευή βράδυ), αλλά εντοπίστηκε και άρχισε να μπλοκάρει στις 4 Οκτωβρίου. Στις 5 Οκτωβρίου, όλοι οι παραβιασμένοι διακομιστές τερματίστηκαν από τους χειριστές τους ή από τους ίδιους τους εισβολείς. Μια έρευνα αποκάλυψε ότι οι εισβολείς απέκτησαν πρόσβαση στους διακομιστές δύο μήνες πριν από την επίθεση στους χρήστες του Tor και εγκατέστησαν το κακόβουλο λογισμικό Ebury 1.8.3 στα παραβιασμένα συστήματα.
Στόχος της επίθεσης ήταν η υποκλοπή κωδικών πρόσβασης, κλειδιών και εμπιστευτικών πληροφοριών σε μη κρυπτογραφημένη κίνηση διαμετακόμισης, καθώς και η καταγραφή κωδικών πρόσβασης SSH. Κατά την ανάλυση της μη κρυπτογραφημένης κίνησης, οι εισβολείς επικεντρώθηκαν σε μη κρυπτογραφημένα αιτήματα προς διακομιστές αλληλογραφίας. Για να ενθαρρυνθεί η επιστροφή σε μη κρυπτογραφημένη λειτουργία σε κόμβους εξόδου, οι θύρες δικτύου που χρησιμοποιούνται για την κρυπτογραφημένη επικοινωνία με διακομιστές αλληλογραφίας αποκλείστηκαν. διακομιστέςΗ μη κρυπτογραφημένη κίνηση αναλύθηκε άμεσα.
Για τη συλλογή κωδικών πρόσβασης SSH, τα αιτήματα SSH ανακατευθύνονταν σε έναν από τους 12 διακομιστές των εισβολέων. Αυτοί οι διακομιστές δέχονταν συνδέσεις SSH και εμφάνιζαν ένα μήνυμα κωδικού πρόσβασης εκ μέρους του/της υπηρέτης, με το οποίο έγινε η σύνδεση. Δεδομένου ότι τα κλειδιά κεντρικού υπολογιστή δεν ταίριαζαν, το ssh στην πλευρά του πελάτη εξέδωσε μια προειδοποίηση σχετικά με τη σύνδεση με ένα άγνωστο υπηρέτης.
Εάν ο χρήστης αγνόησε αυτήν την προειδοποίηση και εισάγει τον κωδικό πρόσβασης για να συνδεθεί, τότε το κακόβουλο διακομιστή αναμετέδιδε μια σύνδεση σε έναν νόμιμο διακομιστή SSH-στόχο, αποθήκευε τον κωδικό πρόσβασης που εισήγαγε το θύμα και υποκλέπτει πληροφορίες σχετικά με την περίοδο λειτουργίας SSH. Ταυτόχρονα, συνδεόταν με τον διακομιστή-στόχο με τον κωδικό πρόσβασης που είχε καταγραφεί και εγκατέστησε το κακόβουλο λογισμικό Ebury σε αυτόν. Αποκτώντας τον έλεγχο του Linux-διακομιστές που δεν ήταν κόμβοι εξόδου Tor, οι εισβολείς άλλαξαν τις ρυθμίσεις στο αρχείο torrc και τους μετέτρεψαν σε νέους κακόβουλους κόμβους εξόδου Tor.
Για να εντοπίσει όλους τους κακόβουλους κόμβους εξόδου, ο ερευνητής που ανακάλυψε το πρόβλημα χρησιμοποίησε το βοηθητικό πρόγραμμα exitmap για να απαριθμήσει όλους τους κόμβους εξόδου, να δημιουργήσει μια σύνδεση SSH μέσω καθενός και να επαληθεύσει ότι το αίτημα ανακατευθύνθηκε. Το πώς ακριβώς οι εισβολείς απέκτησαν πρόσβαση στους παραβιασμένους κόμβους Tor παραμένει ασαφές, αλλά ορισμένοι έχουν κάνει εικασίες, μεταξύ άλλων.
υποθέσεις σχετικά με την παραβίαση των φορέων φιλοξενίας.
Πηγή: opennet.ru
