Upplýsingar hafa verið birtar um atvik þar sem árásarmenn náðu stjórn á 333 Tor útgönguhnútum (Tor hefur um það bil 3000 útgönguhnúta samtals) og notuðu þá til að stöðva ódulkóðaða umferð og beina SSH-tengingum. Árásin hófst 2. október (föstudagskvöld) en var uppgötvuð og lokun hófst 4. október. Þann 5. október voru allir netþjónar sem urðu fyrir áhrifum lokaðir af rekstraraðilum þeirra eða árásarmönnum sjálfum. Rannsókn leiddi í ljós að árásarmennirnir fengu aðgang að netþjónunum tveimur mánuðum fyrir árásina á Tor-notendur og settu upp spilliforritið Ebury 1.8.3 á kerfunum sem urðu fyrir áhrifum.
Markmið árásarinnar var að stöðva lykilorð, lykla og trúnaðarupplýsingar í ódulkóðaðri umferð, sem og að ná í SSH lykilorð. Þegar ódulkóðuð umferð var greind einbeittu árásarmennirnir sér að ódulkóðuðum beiðnum til póstþjóna. Til að hvetja til afturhvarfs í ódulkóðaða virkni á útgönguhnútum voru netgáttir sem notaðar voru til að koma á dulkóðuðum samskiptum við póstþjóna lokað. netþjónarÓdulkóðuð umferð var greind á flugu.
Til að safna SSH lykilorðum voru SSH beiðnir sendar á einn af 12 netþjónum árásarmannanna. Þessir netþjónar tóku við SSH tengingum og birtu lykilorðsbeiðni fyrir hönd þeirra. miðlara, sem tengingin var gerð við. Þar sem lyklarnir fyrir hýsilinn pössuðu ekki saman, sendi ssh á biðlaranum viðvörun um tengingu við óþekkt kerfi. netþjónn.
Ef notandinn hunsaði þessa viðvörun og sló inn lykilorðið til að tengjast, þá er skaðlegi hugbúnaðurinn netþjóni sendi tengingu við lögmætan SSH-þjón, geymdi lykilorðið sem fórnarlambið sló inn og náði upplýsingum um SSH-lotuna. Á sama tíma tengdist það þjóninum með lykilorðinu sem var safnað og setti upp Ebury-spilliforritið á hann. Með því að ná stjórn á Linux-þjóna sem voru ekki Tor-útgönguhnútar, breyttu árásarmennirnir stillingunum í torrc skránni og breyttu þeim í nýja illgjarna Tor-útgönguhnúta.
Til að bera kennsl á alla illgjarna útgönguhnúta notaði rannsakandinn sem uppgötvaði vandamálið exitmap tólið til að telja upp alla útgönguhnúta, koma á SSH tengingu í gegnum hvern og einn og staðfesta að beiðnin hafi verið vísað áfram. Hvernig árásarmennirnir fengu nákvæmlega aðgang að rændu Tor hnútunum er enn óljóst, en sumir hafa meðal annars velt því fyrir sér.
forsendur um málamiðlun hýsingaraðila.
Heimild: opennet.ru
