Cirka 10% av Tor-utgångsnoderna var involverade i attacken för att avlyssna SSH-anslutningar.

Detaljer om händelsen har publicerats, där angriparna lyckades få kontroll över 333 utgångsställen i Tor-nätverket (totalt finns det cirka 3000 utgångsställen i Tor) och organisera avlyssning av okrypterad trafik samt omdirigera SSH-anslutningar. Attacken inleddes den 2 oktober (på fredagskvällen), men upptäcktes och började blockeras den 4 oktober. Den 5 oktober stängdes alla komprometterade servrar av operatörerna eller av angriparna själva. Utredningen visade att angriparna fått åtkomst till servrarna två månader innan attacken på Tor-användarna och installerade skadlig programvara Ebury 1.8.3 i de komprometterade systemen.

Målet med attacken var att avlyssna lösenord, nycklar och konfidentiell information i den okrypterade transittrafiken, samt att få fatt på lösenord för SSH. Vid analysen av den okrypterade trafiken fokuserade angriparna på oenkrypterade anrop till e-postservrar. För att stimulera tillbakatill arbete utan kryptering på utgångsställena blockerades nätverksportar som användes för att etablera en krypterad kommunikationskanal med e-posten. servrar. Den okrypterade trafiken analyserades i realtid.

För att samla in SSH-lösenord organiserades omdirigering av SSH-förfrågningar till en av 12 servrar som tillhörde angriparna. Dessa servrar tog emot SSH-anslutningen och visade en lösenordsprompt å servern, som anslöt. Eftersom värdnycklarna inte stämde överens, gav ssh på klientens sida en varning om att ansluta till en okänd servern.

Om användaren ignorerade denna varning och skrev in lösenordet för anslutning, så vidarebefordrade den skadliga server anslutningen till en legitim målsatt SSH-server, sparade det inmatade lösenordet från offret och avlyssnade information om aktiviteter i SSH-sessionen. Samtidigt gjordes en anslutning till målsservern med det fångade lösenordet och installerades skadlig programvara Ebury på den. Genom att få kontroll över Linux-servrar som inte var utgångsställen för Tor, ändrade angriparna inställningarna i torrc-filen och förvandlade dem till nya skadliga utgångsställen för Tor.

För att identifiera alla skadliga utgångsnoder använde forskaren verktyget exitmap för att iterera över alla utgångsnoder, upprätta SSH-anslutningar genom var och en av dem och kontrollera om en omdirigering av förfrågan hade ägt rum. Hur angriparna fick tillgång till de kapade Tor-noderna är fortfarande oklart, bland annat framförs
hypoteser om kompromettering av hostingoperatörer.

Källa: opennet.ru