Ir publicēta informācija par incidentu, kurā uzbrucēji ieguva kontroli pār 333 Tor izejas mezgliem (kopā Tor ir aptuveni 3000 izejas mezglu) un izmantoja tos, lai pārtvertu nešifrētu datplūsmu un novirzītu SSH savienojumus. Uzbrukums sākās 2. oktobrī (piektdienas vakarā), bet tika atklāts un sāka bloķēt 4. oktobrī. 5. oktobrī visus apdraudētos serverus apturēja to operatori vai paši uzbrucēji. Izmeklēšana atklāja, ka uzbrucēji ieguva piekļuvi serveriem divus mēnešus pirms uzbrukuma Tor lietotājiem un instalēja Ebury 1.8.3 ļaunprogrammatūru apdraudētajās sistēmās.
Uzbrukuma mērķis bija pārtvert paroles, atslēgas un konfidenciālu informāciju nešifrētā tranzīta datplūsmā, kā arī iegūt SSH paroles. Analizējot nešifrētu datplūsmu, uzbrucēji koncentrējās uz nešifrētiem pieprasījumiem pasta serveriem. Lai veicinātu atgriešanos pie nešifrētas darbības izejas mezglos, tika bloķētas tīkla pieslēgvietas, kas tika izmantotas šifrētas saziņas izveidei ar pasta serveriem. serveriNešifrēta datplūsma tika analizēta operatīvi.
Lai apkopotu SSH paroles, SSH pieprasījumi tika novirzīti uz vienu no uzbrucēju 12 serveriem. Šie serveri pieņēma SSH savienojumus un parādīja paroles uzvedni uzbrucēja vārdā. serveris, ar kuru tika izveidots savienojums. Tā kā resursdatora atslēgas nesakrita, ssh klienta pusē izdeva brīdinājumu par savienojuma izveidi ar nezināmu serveri. serveris.
Ja lietotājs ignorēja šo brīdinājumu un ievadīja paroli, lai izveidotu savienojumu, tad ļaunprātīgais serveri pārsūtīja savienojumu ar likumīgu mērķa SSH serveri, saglabāja upura ievadīto paroli un pārtvēra informāciju par SSH sesiju. Vienlaikus tas izveidoja savienojumu ar mērķa serveri, izmantojot pārtverto paroli, un instalēja tajā Ebury ļaunprogrammatūru. Iegūstot kontroli pār Linux-serveros, kas nebija Tor izejas mezgli, uzbrucēji mainīja torrc faila iestatījumus un pārvērta tos par jauniem ļaunprātīgiem Tor izejas mezgliem.
Lai identificētu visus ļaunprātīgos izejas mezglus, pētnieks, kurš atklāja problēmu, izmantoja exitmap utilītu, lai uzskaitītu visus izejas mezglus, izveidotu SSH savienojumu caur katru no tiem un pārbaudītu, vai pieprasījums ir pāradresēts. Kā tieši uzbrucēji ieguva piekļuvi nolaupītajiem Tor mezgliem, joprojām nav skaidrs, taču daži, cita starpā, ir izteikuši minējumus.
pieņēmumi par mitināšanas operatoru kompromitēšanu.
Avots: opennet.ru
