토르(Tor) 종료 노드의 약 10%가 SSH 연결 탈취 공격에 연루되었습니다.

공격자들이 333개의 Tor 종료 노드(Tor는 총 약 3000개의 종료 노드를 보유하고 있음)를 장악하여 암호화되지 않은 트래픽을 가로채고 SSH 연결을 리디렉션한 사건에 대한 세부 정보가 공개되었습니다. 이 공격은 10월 2일(금요일 저녁)에 시작되었지만, 10월 4일에 탐지되어 차단되기 시작했습니다. 10월 5일에는 운영자 또는 공격자 스스로 모든 침해된 서버를 종료했습니다. 조사 결과, 공격자들은 Tor 사용자들을 공격하기 두 달 전에 서버에 접근하여 Ebury 1.8.3 악성코드를 설치한 것으로 밝혀졌습니다.

이번 공격의 목표는 암호화되지 않은 전송 트래픽에서 암호, 키 및 기밀 정보를 가로채고 SSH 암호를 탈취하는 것이었습니다. 공격자들은 암호화되지 않은 트래픽을 분석할 때 메일 서버에 대한 암호화되지 않은 요청에 집중했습니다. 종료 노드에서 암호화되지 않은 상태로 작동하도록 유도하기 위해 메일 서버와의 암호화된 통신에 사용되는 네트워크 포트를 차단했습니다. 서버암호화되지 않은 트래픽은 실시간으로 분석되었습니다.

SSH 암호를 수집하기 위해 SSH 요청은 공격자가 보유한 12개 서버 중 하나로 리디렉션되었습니다. 이 서버들은 SSH 연결을 수락하고 암호를 입력하라는 메시지를 표시했습니다. 서버연결이 이루어진 대상에 대해 호스트 키가 일치하지 않았기 때문에 클라이언트 측의 ssh는 알 수 없는 대상에 연결 중이라는 경고를 표시했습니다. 섬기는 사람.

사용자가 이 경고를 무시하고 접속을 위해 비밀번호를 입력하면 악성 프로그램이 실행됩니다. 서버 정상적인 대상 SSH 서버에 연결을 중계하고, 피해자가 입력한 비밀번호를 저장하며, SSH 세션 정보를 가로챘습니다. 동시에, 캡처한 비밀번호를 사용하여 대상 서버에 연결하고 Ebury 멀웨어를 설치했습니다. 이렇게 하여 대상 서버에 대한 제어권을 확보했습니다. Linux- Tor 종료 노드가 아닌 서버들을 대상으로 공격자들은 torrc 파일의 설정을 변경하여 악성 Tor 종료 노드로 만들었습니다.

문제를 발견한 연구원은 악성 종료 노드를 모두 식별하기 위해 exitmap 유틸리티를 사용하여 모든 종료 노드를 열거하고, 각 노드를 통해 SSH 연결을 설정한 후 요청이 리디렉션되었는지 확인했습니다. 공격자들이 탈취한 Tor 노드에 어떻게 접근했는지는 정확히 밝혀지지 않았지만, 여러 가지 추측이 제기되고 있습니다.
호스팅 운영업체의 보안 침해에 대한 가정.

출처 : opennet.ru