Detaljer har blitt publisert om en hendelse der angripere fikk kontroll over 333 Tor-utgangsnoder (Tor har omtrent 3000 utgangsnoder totalt) og brukte dem til å avlytte ukryptert trafikk og omdirigere SSH-tilkoblinger. Angrepet startet 2. oktober (fredag kveld), men ble oppdaget og begynte å blokkere 4. oktober. 5. oktober ble alle kompromitterte servere stengt ned av operatørene sine eller angriperne selv. En etterforskning avdekket at angriperne fikk tilgang til serverne to måneder før angrepet på Tor-brukere og installerte skadevaren Ebury 1.8.3 på de kompromitterte systemene.
Målet med angrepet var å fange opp passord, nøkler og konfidensiell informasjon i ukryptert transitttrafikk, samt å fange SSH-passord. Ved analyse av ukryptert trafikk fokuserte angriperne på ukrypterte forespørsler til e-postservere. For å oppmuntre til tilbakevending til ukryptert drift på exit-noder, ble nettverksporter som brukes til å etablere kryptert kommunikasjon med e-postservere blokkert. servereUkryptert trafikk ble analysert underveis.
For å samle inn SSH-passord ble SSH-forespørsler omdirigert til en av angripernes 12 servere. Disse serverne godtok SSH-tilkoblinger og viste en passordforespørsel på vegne av server, som tilkoblingen ble opprettet til. Siden vertsnøklene ikke samsvarte, utstedte ssh på klientsiden en advarsel om tilkobling til en ukjent server.
Hvis brukeren ignorerte denne advarselen og skrev inn passordet for å koble til, vil den ondsinnede serveren videreformidlet en forbindelse til en legitim mål-SSH-server, lagret passordet som offeret hadde skrevet inn, og snappet opp informasjon om SSH-økten. Samtidig koblet den seg til målserveren med det innsamlede passordet og installerte Ebury-skadevaren på den. Ved å få kontroll over Linux-servere som ikke var Tor-utgangsnoder, endret angriperne innstillingene i torrc-filen og gjorde dem om til nye ondsinnede Tor-utgangsnoder.
For å identifisere alle ondsinnede utgangsnoder brukte forskeren som oppdaget problemet exitmap-verktøyet til å liste opp alle utgangsnoder, etablere en SSH-tilkobling gjennom hver enkelt og bekrefte at forespørselen ble omdirigert. Hvordan angriperne nøyaktig fikk tilgang til de kaprede Tor-nodene er fortsatt uklart, men noen har spekulert, blant annet.
antagelser om kompromisset mellom hostingoperatører.
Kilde: opennet.ru
