Rincian telah dipublikasikan mengenai insiden di mana penyerang berhasil menguasai 333 node keluar Tor (Tor memiliki sekitar 3000 node keluar secara total) dan menggunakannya untuk mencegat lalu lintas yang tidak terenkripsi dan mengalihkan koneksi SSH. Serangan dimulai pada 2 Oktober (Jumat malam), tetapi terdeteksi dan mulai diblokir pada 4 Oktober. Pada 5 Oktober, semua server yang disusupi dimatikan oleh operatornya atau penyerang itu sendiri. Investigasi mengungkapkan bahwa penyerang memperoleh akses ke server dua bulan sebelum serangan terhadap pengguna Tor dan menginstal malware Ebury 1.8.3 pada sistem yang disusupi.
Tujuan serangan ini adalah untuk mencegat kata sandi, kunci, dan informasi rahasia dalam lalu lintas transit yang tidak terenkripsi, serta menangkap kata sandi SSH. Saat menganalisis lalu lintas yang tidak terenkripsi, penyerang berfokus pada permintaan yang tidak terenkripsi ke server email. Untuk mendorong peralihan kembali ke operasi yang tidak terenkripsi pada node keluar, port jaringan yang digunakan untuk membangun komunikasi terenkripsi dengan server email diblokir. serverLalu lintas yang tidak terenkripsi dianalisis secara langsung.
Untuk mengumpulkan kata sandi SSH, permintaan SSH dialihkan ke salah satu dari 12 server penyerang. Server-server ini menerima koneksi SSH dan menampilkan permintaan kata sandi atas nama penyerang. server, ke mana koneksi dibuat. Karena kunci host tidak cocok, ssh di sisi klien mengeluarkan peringatan tentang koneksi ke alamat yang tidak dikenal. server.
Jika pengguna mengabaikan peringatan ini dan memasukkan kata sandi untuk terhubung, maka program jahat tersebut akan berhasil. server Ia berhasil membuat koneksi ke server SSH target yang sah, menyimpan kata sandi yang dimasukkan oleh korban, dan mencegat informasi tentang sesi SSH. Pada saat yang sama, ia terhubung ke server target dengan kata sandi yang telah direbut dan menginstal malware Ebury di server tersebut. Dengan menguasai koneksi tersebut, korban berhasil mendapatkan kendali atas server target. Linux-Pada server yang bukan merupakan node keluar Tor, penyerang mengubah pengaturan dalam file torrc dan mengubahnya menjadi node keluar Tor berbahaya yang baru.
Untuk mengidentifikasi semua node keluar berbahaya, peneliti yang menemukan masalah tersebut menggunakan utilitas exitmap untuk menghitung semua node keluar, membuat koneksi SSH melalui masing-masing node, dan memverifikasi bahwa permintaan tersebut dialihkan. Bagaimana tepatnya penyerang mendapatkan akses ke node Tor yang dibajak masih belum jelas, tetapi beberapa orang telah berspekulasi, antara lain.
asumsi tentang kompromi operator hosting.
Sumber: opennet.ru
