출구 노드 전력의 XNUMX분의 XNUMX을 포함하는 Tor 사용자에 대한 공격

프로젝트 작성자 OrNetRadar, Tor 익명 네트워크에 대한 새로운 노드 그룹의 연결을 모니터링합니다. 출판 사용자 트래픽을 조작하려는 악성 Tor 출구 노드의 주요 운영자를 식별한 보고서입니다. 위 통계에 따르면 22월 XNUMX일은 고정 된 대규모 악성 노드 그룹의 Tor 네트워크에 연결되었으며 그 결과 공격자는 출구 노드를 통한 모든 액세스의 23.95%를 차지하는 트래픽에 대한 제어권을 얻었습니다.

활동이 최고조에 달했을 때 악성 그룹은 약 380개의 노드로 구성되었습니다. 연구원들은 서버에 나열된 연락처 이메일을 기반으로 노드를 악의적인 활동과 연결함으로써 약 9개월 동안 활성 상태인 최소 7개의 서로 다른 악성 종료 노드 클러스터를 식별할 수 있었습니다. Tor 개발자는 악성 노드를 차단하려고 시도했지만 공격자는 빠르게 활동을 회복했습니다. 현재 악성 노드 수는 감소했지만, 여전히 이를 통과하는 트래픽이 10% 이상입니다.

악의적인 종료 노드에 기록된 활동에서 리디렉션의 선택적 제거가 기록됩니다.
HTTP를 통한 암호화 없이 리소스에 처음 액세스할 때 HTTPS 변형 사이트에서 공격자가 TLS 인증서를 교체하지 않고 세션 콘텐츠를 가로챌 수 있습니다("ssl 스트리핑" 공격). 이 접근 방식은 도메인 앞에 "https://"를 명시적으로 지정하지 않고 사이트 주소를 입력하는 사용자와 페이지를 연 후 Tor 브라우저의 주소 표시줄에 있는 프로토콜 이름에 초점을 맞추지 않는 사용자에게 효과적입니다. HTTPS로의 리디렉션 차단을 방지하려면 사이트에서 다음을 사용하는 것이 좋습니다. HSTS 예압.

악성행위 탐지를 어렵게 하기 위해 주로 암호화폐와 관련된 개별 사이트를 대상으로 선별적으로 대체를 진행하고 있습니다. 보안되지 않은 트래픽에서 비트코인 ​​주소가 감지되면 비트코인 ​​주소를 대체하고 거래를 지갑으로 리디렉션하기 위해 트래픽이 변경됩니다. 악성 노드는 OVH, Frantech, ServerAstra 및 Trabia Network와 같은 일반 Tor 노드 호스팅에 널리 사용되는 공급자에 의해 호스팅됩니다.

출처 : opennet.ru