Шабуылдаушылар 333 Tor шығу түйінін бақылауға алып (Tor-да барлығы шамамен 3000 шығу түйіні бар), оларды шифрланбаған трафикті ұстап алу және SSH қосылымдарын қайта бағыттау үшін пайдаланған оқиғаның егжей-тегжейлері жарияланды. Шабуыл 2 қазанда (жұма күні кешке) басталды, бірақ анықталып, 4 қазанда бұғаттала бастады. 5 қазанда барлық бұзылған серверлер олардың операторлары немесе шабуылдаушылардың өздерімен жабылды. Тергеу нәтижесінде шабуылдаушылар Tor пайдаланушыларына шабуыл жасаудан екі ай бұрын серверлерге қол жеткізіп, бұзылған жүйелерге Ebury 1.8.3 зиянды бағдарламасын орнатқаны анықталды.
Шабуылдың мақсаты шифрланбаған транзиттік трафиктегі құпия сөздерді, кілттерді және құпия ақпаратты ұстап алу, сондай-ақ SSH құпия сөздерін басып алу болды. Шифрланбаған трафикті талдаған кезде, шабуылдаушылар пошта серверлеріне жіберілген шифрланбаған сұрауларға назар аударды. Шығу түйіндерінде шифрланбаған жұмысқа оралуды ынталандыру үшін пошта серверлерімен шифрланған байланысты орнату үшін пайдаланылатын желілік порттар бұғатталды. серверлерШифрланбаған трафик жедел талданды.
SSH құпия сөздерін жинау үшін SSH сұраулары шабуылдаушының 12 серверінің біріне қайта бағытталды. Бұл серверлер SSH қосылымдарын қабылдап, құпия сөз сұрауын көрсетті сервер, оған қосылым орнатылды. Хост кілттері сәйкес келмегендіктен, клиент жағындағы ssh белгісізге қосылу туралы ескерту шығарды. сервер.
Егер пайдаланушы бұл ескертуді елемей, қосылу үшін құпия сөзді енгізсе, онда зиянды бағдарлама сервер заңды нысаналы SSH серверіне қосылым жіберді, жәбірленуші енгізген құпия сөзді сақтады және SSH сессиясы туралы ақпаратты ұстап алды. Сонымен қатар, ол алынған құпия сөзбен нысаналы серверге қосылып, оған Ebury зиянды бағдарламасын орнатты. Бақылауды алу арқылы Linux-Tor шығу түйіндері емес серверлерде шабуылдаушылар torrc файлындағы параметрлерді өзгертіп, оларды жаңа зиянды Tor шығу түйіндеріне айналдырды.
Барлық зиянды шығу түйіндерін анықтау үшін мәселені анықтаған зерттеуші барлық шығу түйіндерін санау, әрқайсысы арқылы SSH қосылымын орнату және сұраныстың қайта бағытталғанын тексеру үшін exitmap утилитасын пайдаланды. Шабуылдаушылардың басып алынған Tor түйіндеріне қалай қол жеткізгені әлі белгісіз, бірақ кейбіреулер басқа нәрселермен қатар болжам жасады.
хостинг операторларының ымыраға келуі туралы болжамдар.
Ақпарат көзі: opennet.ru
