התקפה על משתמשי Tor באמצעות רבע מהספק של צמתי הפלט

מחבר הפרויקט OrNetRadar, המנטר את החיבור של קבוצות צמתים חדשות לרשת Tor האנונימית, פורסם דווח על זיהוי מפעיל מרכזי של צמתי יציאה זדוניים של Tor שמנסה לתמרן את תעבורת המשתמש. על פי הסטטיסטיקה לעיל, 22 במאי היה תוקן חיבור לרשת Tor של קבוצה גדולה של צמתים זדוניים, וכתוצאה מכך התוקפים השיגו שליטה על התעבורה, המכסים 23.95% מכלל הבקשות דרך צמתי יציאה.

בשיא פעילותה, הקבוצה הזדונית כללה כ-380 צמתים. על ידי קישור צמתים בהתבסס על אימיילים ליצירת קשר שצוינו בשרתים עם פעילות זדונית, החוקרים הצליחו לזהות לפחות 9 אשכולות שונים של צמתי יציאה זדוניים שהיו פעילים במשך כ-7 חודשים. מפתחי Tor ניסו לחסום צמתים זדוניים, אך התוקפים חידשו במהירות את פעילותם. נכון לעכשיו, מספר הצמתים הזדוניים ירד, אך יותר מ-10% מהתנועה עדיין עוברת דרכם.

הסרה סלקטיבית של ניתוב מחדש מצוינת מהפעילות שנרשמה בצמתי יציאה זדוניים
לגרסאות HTTPS של אתרים בעת גישה תחילה למשאב ללא הצפנה באמצעות HTTP, מה שמאפשר לתוקפים ליירט את תוכן הפעלות מבלי להחליף תעודות TLS ("התקפת ssl stripping"). גישה זו פועלת עבור משתמשים המקלידים את כתובת האתר מבלי לציין במפורש "https://" לפני הדומיין ולאחר פתיחת העמוד, אינם מתמקדים בשם הפרוטוקול בשורת הכתובת של דפדפן Tor. כדי להגן מפני חסימת הפניות ל-HTTPS, מומלץ להשתמש באתרים טעינה מוקדמת של HSTS.

כדי להקשות על זיהוי פעילות זדונית, ההחלפה מתבצעת באופן סלקטיבי באתרים בודדים, הקשורים בעיקר למטבעות קריפטוגרפיים. אם כתובת ביטקוין מזוהה בתעבורה לא מוגנת, אז יבוצעו שינויים בתעבורה כדי להחליף את כתובת הביטקוין ולהפנות את העסקה לארנק שלך. צמתים זדוניים מתארחים אצל ספקים פופולריים לאירוח צמתים רגילים של Tor, כגון OVH, Frantech, ServerAstra ו-Trabia Network.

מקור: OpenNet.ru