Հրապարակվել են մի միջադեպի մանրամասներ, որի ընթացքում հարձակվողները վերահսկողություն են հաստատել Tor-ի 333 ելքային հանգույցների նկատմամբ (Tor-ն ընդհանուր առմամբ ունի մոտավորապես 3000 ելքային հանգույց) և օգտագործել դրանք չգաղտնագրված երթևեկությունը խափանելու և SSH կապերը վերահասցեագրելու համար: Հարձակումը սկսվել է հոկտեմբերի 2-ին (ուրբաթ երեկոյան), բայց հայտնաբերվել և սկսել է արգելափակվել հոկտեմբերի 4-ին: Հոկտեմբերի 5-ին բոլոր վարակված սերվերները անջատվել են իրենց օպերատորների կամ հենց հարձակվողների կողմից: Հետաքննությունը պարզել է, որ հարձակվողները մուտք են գործել սերվերներ Tor օգտատերերի վրա հարձակումից երկու ամիս առաջ և վարակված համակարգերի վրա տեղադրել են Ebury 1.8.3 վնասակար ծրագիրը:
Հարձակման նպատակն էր խլել գաղտնաբառերը, բանալիները և գաղտնի տեղեկատվությունը չծածկագրված տարանցիկ երթևեկության մեջ, ինչպես նաև որսալ SSH գաղտնաբառերը: Չծածկագրված երթևեկությունը վերլուծելիս հարձակվողները կենտրոնացել էին փոստային սերվերներին ուղղված չծածկագրված հարցումների վրա: Ելքային հանգույցներում չծածկագրված գործողությանը վերադառնալը խրախուսելու համար արգելափակվել են փոստային սերվերների հետ գաղտնագրված կապ հաստատելու համար օգտագործվող ցանցային միացքները: սերվերներՉգաղտնագրված երթևեկությունը վերլուծվել է անմիջապես։
SSH գաղտնաբառերը հավաքելու համար SSH հարցումները վերահասցեագրվել են հարձակվողների 12 սերվերներից մեկին: Այս սերվերները ընդունել են SSH կապեր և գաղտնաբառի հարցում են ցուցադրել հետևյալի անունից: սերվեր, որին կապը հաստատվել է։ Քանի որ հոսթի բանալիները չեն համընկնում, հաճախորդի կողմից ssh-ը նախազգուշացում է տվել անհայտին միանալու մասին։ սերվեր.
Եթե օգտատերը անտեսել է այս նախազգուշացումը և մուտքագրել է միանալու գաղտնաբառը, ապա չարամիտ ծրագիրը սերվեր կապ է հաստատել օրինական թիրախային SSH սերվերի հետ, պահպանել զոհի կողմից մուտքագրված գաղտնաբառը և խլել SSH սեսիայի մասին տեղեկատվությունը: Միևնույն ժամանակ, այն կապվել է թիրախային սերվերի հետ՝ օգտագործելով ստացված գաղտնաբառը և տեղադրել Ebury վնասակար ծրագիրը դրա վրա: Վերահսկողություն ձեռք բերելով Linux-սերվերներ, որոնք Tor ելքի հանգույցներ չէին, հարձակվողները փոխեցին torrc ֆայլի կարգավորումները և դրանք վերածեցին նոր վնասակար Tor ելքի հանգույցների։
Բոլոր վնասակար ելքային հանգույցները նույնականացնելու համար, խնդիրը հայտնաբերած հետազոտողը օգտագործել է exitmap ծրագիրը՝ բոլոր ելքային հանգույցները թվարկելու, յուրաքանչյուրի միջոցով SSH կապ հաստատելու և հարցումը վերահասցեավորված լինելու համար: Թե ինչպես են հարձակվողները մուտք գործել առևանգված Tor հանգույցներ, դեռևս պարզ չէ, բայց որոշները ենթադրություններ են արել, ի թիվս այլ բաների:
ենթադրություններ հոսթինգ օպերատորների վտանգի վերաբերյալ։
Source: opennet.ru
