جزئیات حادثه‌ای منتشر شده است که در آن مهاجمان کنترل ۳۳۳ گره خروجی Tor (Tor در مجموع تقریباً ۳۰۰۰ گره خروجی دارد) را به دست گرفتند و از آنها برای رهگیری ترافیک رمزگذاری نشده و تغییر مسیر اتصالات SSH استفاده کردند. این حمله در ۲ اکتبر (عصر جمعه) آغاز شد، اما در ۴ اکتبر شناسایی و مسدود شدن آن آغاز شد. در ۵ اکتبر، تمام سرورهای آسیب‌دیده توسط اپراتورهای آنها یا خود مهاجمان خاموش شدند. تحقیقات نشان داد که مهاجمان دو ماه قبل از حمله به کاربران Tor به سرورها دسترسی پیدا کرده و بدافزار Ebury 1.8.3 را روی سیستم‌های آسیب‌دیده نصب کرده‌اند.
هدف از این حمله، رهگیری رمزهای عبور، کلیدها و اطلاعات محرمانه در ترافیک انتقالی رمزگذاری نشده و همچنین ضبط رمزهای عبور SSH بود. مهاجمان هنگام تجزیه و تحلیل ترافیک رمزگذاری نشده، بر درخواست‌های رمزگذاری نشده به سرورهای ایمیل تمرکز کردند. برای تشویق بازگشت به عملیات رمزگذاری نشده در گره‌های خروجی، پورت‌های شبکه‌ای که برای برقراری ارتباط رمزگذاری شده با سرورهای ایمیل استفاده می‌شدند، مسدود شدند. سرورهاترافیک رمزگذاری نشده درجا مورد تجزیه و تحلیل قرار گرفت.
برای جمع‌آوری رمزهای عبور SSH، درخواست‌های SSH به یکی از ۱۲ سرور مهاجمان هدایت شدند. این سرورها اتصالات SSH را پذیرفته و از طرف ... درخواست رمز عبور را نمایش می‌دادند. سرور، که اتصال به آن برقرار شده است. از آنجایی که کلیدهای میزبان مطابقت نداشتند، ssh در سمت کلاینت هشداری در مورد اتصال به یک سرور ناشناخته صادر کرد. سرور.
اگر کاربر این هشدار را نادیده گرفته و رمز عبور را برای اتصال وارد کند، آنگاه بدافزار سرور اتصالی را به یک سرور SSH قانونی هدف منتقل کرد، رمز عبور وارد شده توسط قربانی را ذخیره کرد و اطلاعات مربوط به جلسه SSH را رهگیری کرد. همزمان، با رمز عبور ضبط شده به سرور هدف متصل شد و بدافزار Ebury را روی آن نصب کرد. با به دست گرفتن کنترل ... Linux-سرورهایی که گره‌های خروج Tor نبودند، مهاجمان تنظیمات فایل torrc را تغییر داده و آنها را به گره‌های خروج Tor مخرب جدید تبدیل کردند.
برای شناسایی تمام گره‌های خروجی مخرب، محققی که این مشکل را کشف کرد، از ابزار exitmap برای شمارش تمام گره‌های خروجی، برقراری اتصال SSH از طریق هر یک و تأیید تغییر مسیر درخواست استفاده کرد. اینکه مهاجمان دقیقاً چگونه به گره‌های Tor ربوده شده دسترسی پیدا کرده‌اند، هنوز مشخص نیست، اما برخی، از جمله موارد دیگر، گمانه‌زنی‌هایی کرده‌اند.
فرضیاتی در مورد به خطر افتادن اپراتورهای میزبانی وب.
منبع: opennet.ru
