פרטים פורסמו על אירוע בו תוקפים השתלטו על 333 צמתי יציאה של Tor (ל-Tor יש כ-3000 צמתי יציאה בסך הכל) והשתמשו בהם כדי ליירט תעבורה לא מוצפנת ולנתב מחדש חיבורי SSH. המתקפה החלה ב-2 באוקטובר (ערב שישי), אך זוהתה והחלה לחסום ב-4 באוקטובר. ב-5 באוקטובר, כל השרתים שנפרצו נסגרו על ידי מפעיליהם או התוקפים עצמם. חקירה העלתה כי התוקפים קיבלו גישה לשרתים חודשיים לפני המתקפה על משתמשי Tor והתקינו את הנוזקה Ebury 1.8.3 על המערכות שנפרצו.
מטרת ההתקפה הייתה ליירט סיסמאות, מפתחות ומידע סודי בתעבורת דואר לא מוצפנת, וכן ללכוד סיסמאות SSH. בעת ניתוח תעבורה לא מוצפנת, התוקפים התמקדו בבקשות לא מוצפנות לשרתי דואר. כדי לעודד חזרה לפעולה לא מוצפנת בצמתי יציאה, נחסמו פורטי רשת המשמשים ליצירת תקשורת מוצפנת עם שרתי דואר. שרתיםתעבורה לא מוצפנת נותחה תוך כדי תנועה.
כדי לאסוף סיסמאות SSH, בקשות SSH הופנו לאחד מ-12 השרתים של התוקפים. שרתים אלה קיבלו חיבורי SSH והציגו בקשת סיסמה מטעם שרת, שאליו נוצר החיבור. מכיוון שמפתחות המארח לא תאמו, ssh בצד הלקוח הנפיק אזהרה לגבי התחברות לשרת לא ידוע שרת.
אם המשתמש התעלם מאזהרה זו והזין את הסיסמה כדי להתחבר, אזי התוכנה הזדונית שרת העביר חיבור לשרת SSH לגיטימי, אחסן את הסיסמה שהוזנה על ידי הקורבן, ויירט מידע על סשן ה-SSH. במקביל, הוא התחבר לשרת היעד עם הסיסמה שנלכדה והתקין עליו את תוכנת הזדונית של Ebury. על ידי השגת שליטה על Linuxשרתים שלא היו צמתי יציאה של Tor, התוקפים שינו את ההגדרות בקובץ torrc והפכו אותם לצמתי יציאה זדוניים חדשים של Tor.
כדי לזהות את כל צמתי היציאה הזדוניים, החוקר שגילה את הבעיה השתמש בכלי exitmap כדי למנות את כל צמתי היציאה, ליצור חיבור SSH דרך כל אחד מהם ולאמת שהבקשה הופנתה מחדש. כיצד בדיוק התוקפים קיבלו גישה לצמתי Tor שנחטפו נותר לא ברור, אך חלקם העלו ספקולציות, בין היתר.
הנחות לגבי הפשרה של מפעילי אירוח.
מקור: OpenNet.ru
