Tor-ის გასასვლელი კვანძების დაახლოებით 10% ჩართული იყო SSH კავშირის გატაცების შეტევაში.

გამოქვეყნდა ინციდენტის დეტალები, რომლის დროსაც თავდამსხმელებმა მოიპოვეს კონტროლი 333 Tor-ის გასასვლელ კვანძზე (Tor-ს სულ დაახლოებით 3000 გასასვლელი კვანძი აქვს) და გამოიყენეს ისინი დაუშიფრავი ტრაფიკის ჩასაჭრელად და SSH კავშირების გადამისამართებლად. შეტევა დაიწყო 2 ოქტომბერს (პარასკევი საღამოს), მაგრამ აღმოჩენილი იქნა და დაბლოკვა 4 ოქტომბერს დაიწყო. 5 ოქტომბერს ყველა კომპრომეტირებული სერვერი გათიშეს მათი ოპერატორების ან თავად თავდამსხმელების მიერ. გამოძიებამ აჩვენა, რომ თავდამსხმელებმა სერვერებზე წვდომა მოიპოვეს Tor-ის მომხმარებლებზე თავდასხმამდე ორი თვით ადრე და კომპრომეტირებულ სისტემებზე დააინსტალირეს Ebury 1.8.3 მავნე პროგრამა.

თავდასხმის მიზანი იყო პაროლების, გასაღებების და კონფიდენციალური ინფორმაციის ხელში ჩაგდება დაუშიფრავ სატრანზიტო ტრაფიკში, ასევე SSH პაროლების მოპოვება. დაუშიფრავი ტრაფიკის ანალიზისას, თავდამსხმელებმა ყურადღება გაამახვილეს საფოსტო სერვერებზე დაუშიფრავ მოთხოვნებზე. გასასვლელ კვანძებზე დაუშიფრავ ოპერაციაზე დაბრუნების წასახალისებლად, დაიბლოკა ქსელის პორტები, რომლებიც გამოიყენება საფოსტო სერვერებთან დაშიფრული კომუნიკაციის დასამყარებლად. სერვერებიდაუშიფრავი ტრაფიკი მომენტალურად გაანალიზდა.

SSH პაროლების შესაგროვებლად, SSH მოთხოვნები გადამისამართდა თავდამსხმელების 12 სერვერიდან ერთ-ერთზე. ეს სერვერები იღებდნენ SSH კავშირებს და აჩვენებდნენ პაროლის მოთხოვნას შემდეგი პირის სახელით. სერვერი, რომელთანაც კავშირი დამყარდა. რადგან ჰოსტის გასაღებები არ ემთხვეოდა, კლიენტის მხარეს ssh-მა გაფრთხილება გასცა უცნობთან დაკავშირების შესახებ. სერვერი.

თუ მომხმარებელმა უგულებელყო ეს გაფრთხილება და შეიყვანა პაროლი დასაკავშირებლად, მაშინ მავნე პროგრამა სერვერზე გადაეცა კავშირი ლეგიტიმურ სამიზნე SSH სერვერთან, შეინახა მსხვერპლის მიერ შეყვანილი პაროლი და ჩაჭრა ინფორმაცია SSH სესიის შესახებ. ამავდროულად, ის დაუკავშირდა სამიზნე სერვერს აღებული პაროლით და დააინსტალირა მასზე Ebury-ის მავნე პროგრამა. კონტროლის მოპოვებით Linux-სერვერები, რომლებიც არ წარმოადგენდნენ Tor-ის გასასვლელ კვანძებს, თავდამსხმელებმა შეცვალეს torrc ფაილში არსებული პარამეტრები და გადააკეთეს ისინი ახალ მავნე Tor-ის გასასვლელ კვანძებად.

ყველა მავნე გასასვლელი კვანძის იდენტიფიცირებისთვის, პრობლემის აღმომჩენმა მკვლევარმა გამოიყენა exitmap პროგრამა, რათა ჩამოეთვალა ყველა გასასვლელი კვანძი, დამყარებულიყო SSH კავშირი თითოეული მათგანის მეშვეობით და დადასტურებულიყო, რომ მოთხოვნა გადამისამართებული იყო. ჯერჯერობით გაურკვეველია, თუ როგორ მოიპოვეს თავდამსხმელებმა წვდომა გატაცებულ Tor კვანძებზე, თუმცა ზოგიერთს სხვა საკითხებთან ერთად ვარაუდიც აქვს.
ვარაუდები ჰოსტინგის ოპერატორების კომპრომეტირების შესახებ.

წყარო: opennet.ru