Халдагчид 333 Tor гаралтын зангилааг (Tor нь нийтдээ 3000 орчим гаралтын зангилаатай) хяналтандаа авч, шифрлэгдээгүй урсгалыг таслан зогсоох, SSH холболтыг дахин чиглүүлэхэд ашигласан ослын талаарх дэлгэрэнгүй мэдээллийг нийтэлжээ. Халдлага 10-р сарын 2-нд (Баасан гарагийн орой) эхэлсэн боловч илрүүлж, 10-р сарын 4-нд хааж эхэлсэн. 10-р сарын 5-нд бүх халдлагад өртсөн серверүүдийг операторууд эсвэл халдагчид өөрсдөө хаасан. Мөрдөн байцаалтын явцад халдагчид Tor хэрэглэгчдэд халдахаас хоёр сарын өмнө серверүүдэд нэвтэрч, халдлагад өртсөн системүүд дээр Ebury 1.8.3 хортой програм хангамж суулгасан болохыг тогтоожээ.
Халдлагын зорилго нь шифрлэгдээгүй транзит урсгал дахь нууц үг, түлхүүр болон нууц мэдээллийг таслан зогсоох, мөн SSH нууц үгийг авах явдал байв. Шифрлэгдээгүй урсгалыг шинжлэхдээ халдагчид шуудангийн серверүүд рүү илгээсэн шифрлэгдээгүй хүсэлтүүдэд анхаарлаа төвлөрүүлсэн. Гарах зангилаанууд дээр шифрлэгдээгүй үйлдэл рүү буцахыг дэмжихийн тулд шуудангийн серверүүдтэй шифрлэгдсэн харилцаа холбоо тогтооход ашигладаг сүлжээний портуудыг хаасан. серверүүдШифрлэгдээгүй урсгалыг шууд шинжилсэн.
SSH нууц үг цуглуулахын тулд SSH хүсэлтийг халдагчдын 12 серверийн аль нэг рүү чиглүүлсэн. Эдгээр серверүүд SSH холболтыг хүлээн авч, нууц үгийн хүсэлтийг харуулсан. сервер, холболт хийгдсэн. Хост түлхүүрүүд таарахгүй байсан тул үйлчлүүлэгч талын ssh нь үл мэдэгдэх холболтын талаар анхааруулга гаргасан. сервер.
Хэрэв хэрэглэгч энэ анхааруулгыг үл тоомсорлож, холбогдохын тулд нууц үгээ оруулсан бол хортой сервер хууль ёсны зорилтот SSH сервертэй холболт дамжуулж, хохирогчийн оруулсан нууц үгийг хадгалж, SSH сессийн талаарх мэдээллийг таслан зогсоосон. Үүний зэрэгцээ, энэ нь барьсан нууц үгээр зорилтот сервертэй холбогдож, түүн дээр Ebury хортой програм хангамж суулгасан. Хяналтаа авснаар Linux-Tor гарах зангилаа биш серверүүдэд халдагчид torrc файлын тохиргоог өөрчилж, тэдгээрийг шинэ хортой Tor гарах зангилаа болгон хувиргасан.
Бүх хортой гаралтын зангилааг тодорхойлохын тулд асуудлыг илрүүлсэн судлаач exitmap хэрэгслийг ашиглан бүх гаралтын зангилааг тоолж, тус бүрээр нь SSH холболт тогтоож, хүсэлтийг дахин чиглүүлсэн эсэхийг баталгаажуулсан. Халдагчид барьцаалагдсан Tor зангилаанд яг хэрхэн нэвтэрсэн нь тодорхойгүй хэвээр байгаа ч зарим хүмүүс бусад зүйлсийн дотор таамаглал дэвшүүлж байна.
хостинг операторуудын буулт хийх талаархи таамаглалууд.
Эх сурвалж: opennet.ru
