มีการเปิดเผยรายละเอียดของเหตุการณ์ที่ผู้โจมตีเข้าควบคุมโหนดทางออกของ Tor จำนวน 333 โหนด (Tor มีโหนดทางออกทั้งหมดประมาณ 3000 โหนด) และใช้โหนดเหล่านั้นในการดักจับการรับส่งข้อมูลที่ไม่เข้ารหัสและเปลี่ยนเส้นทางการเชื่อมต่อ SSH การโจมตีเริ่มต้นขึ้นในวันที่ 2 ตุลาคม (เย็นวันศุกร์) แต่ถูกตรวจพบและเริ่มบล็อกในวันที่ 4 ตุลาคม และในวันที่ 5 ตุลาคม เซิร์ฟเวอร์ที่ถูกโจมตีทั้งหมดถูกปิดลงโดยผู้ดูแลระบบหรือผู้โจมตีเอง การสืบสวนพบว่าผู้โจมตีเข้าถึงเซิร์ฟเวอร์ได้สองเดือนก่อนการโจมตีผู้ใช้ Tor และติดตั้งมัลแวร์ Ebury 1.8.3 บนระบบที่ถูกโจมตี
เป้าหมายของการโจมตีคือการดักจับรหัสผ่าน กุญแจ และข้อมูลลับในข้อมูลการส่งผ่านที่ไม่เข้ารหัส รวมถึงการดักจับรหัสผ่าน SSH เมื่อวิเคราะห์ข้อมูลที่ไม่เข้ารหัส ผู้โจมตีมุ่งเน้นไปที่คำขอที่ไม่เข้ารหัสไปยังเซิร์ฟเวอร์อีเมล เพื่อกระตุ้นให้กลับไปใช้การทำงานที่ไม่เข้ารหัสบนโหนดทางออก พอร์ตเครือข่ายที่ใช้ในการสร้างการสื่อสารที่เข้ารหัสกับเซิร์ฟเวอร์อีเมลจึงถูกบล็อก เซิร์ฟเวอร์ข้อมูลที่ไม่ได้เข้ารหัสจะถูกวิเคราะห์แบบเรียลไทม์
เพื่อรวบรวมรหัสผ่าน SSH คำขอ SSH ถูกส่งต่อไปยังเซิร์ฟเวอร์หนึ่งใน 12 เครื่องของผู้โจมตี เซิร์ฟเวอร์เหล่านี้ยอมรับการเชื่อมต่อ SSH และแสดงข้อความแจ้งให้ป้อนรหัสผ่านในนามของผู้โจมตี เซิร์ฟเวอร์ซึ่งมีการเชื่อมต่อเกิดขึ้น เนื่องจากคีย์โฮสต์ไม่ตรงกัน ssh ทางฝั่งไคลเอ็นต์จึงแสดงคำเตือนเกี่ยวกับการเชื่อมต่อกับที่ไม่รู้จัก เซิร์ฟเวอร์.
หากผู้ใช้เพิกเฉยต่อคำเตือนนี้และป้อนรหัสผ่านเพื่อเชื่อมต่อ มัลแวร์ก็จะเข้าถึงระบบได้ เซิร์ฟเวอร์ โปรแกรมนี้สร้างการเชื่อมต่อกับเซิร์ฟเวอร์ SSH เป้าหมายที่ถูกต้อง เก็บรหัสผ่านที่เหยื่อป้อน และดักจับข้อมูลเกี่ยวกับการเชื่อมต่อ SSH ในขณะเดียวกัน ก็เชื่อมต่อกับเซิร์ฟเวอร์เป้าหมายด้วยรหัสผ่านที่ดักจับได้และติดตั้งมัลแวร์ Ebury ลงบนเซิร์ฟเวอร์นั้น โดยการควบคุมเซิร์ฟเวอร์เป้าหมายได้สำเร็จ Linux-เซิร์ฟเวอร์ที่ไม่ใช่โหนดทางออกของ Tor นั้น ผู้โจมตีได้เปลี่ยนการตั้งค่าในไฟล์ torrc และเปลี่ยนให้กลายเป็นโหนดทางออกของ Tor ที่เป็นอันตรายใหม่
เพื่อระบุโหนดทางออกที่เป็นอันตรายทั้งหมด นักวิจัยที่ค้นพบปัญหาได้ใช้ยูทิลิตี้ exitmap เพื่อแจงนับโหนดทางออกทั้งหมด สร้างการเชื่อมต่อ SSH ผ่านแต่ละโหนด และตรวจสอบว่าคำขอถูกเปลี่ยนเส้นทางแล้ว วิธีที่ผู้โจมตีเข้าถึงโหนด Tor ที่ถูกยึดครองยังคงไม่ชัดเจน แต่บางคนได้คาดเดาถึงสาเหตุต่างๆ ไว้แล้ว
ข้อสันนิษฐานเกี่ยวกับการประนีประนอมของผู้ให้บริการโฮสติ้ง
ที่มา: opennet.ru
