Saldırganların 333 Tor çıkış düğümünün (Tor'un toplamda yaklaşık 3000 çıkış düğümü vardır) kontrolünü ele geçirdiği ve bunları şifrelenmemiş trafiği engellemek ve SSH bağlantılarını yönlendirmek için kullandığı bir olayla ilgili ayrıntılar yayınlandı. Saldırı 2 Ekim Cuma akşamı başladı, ancak 4 Ekim'de tespit edildi ve engelleme işlemleri başlatıldı. 5 Ekim'de, ele geçirilen tüm sunucular operatörleri veya saldırganlar tarafından kapatıldı. Bir soruşturma, saldırganların Tor kullanıcılarına yönelik saldırıdan iki ay önce sunuculara erişim sağladığını ve ele geçirilen sistemlere Ebury 1.8.3 kötü amaçlı yazılımını yüklediğini ortaya çıkardı.
Saldırının amacı, şifrelenmemiş iletim trafiğindeki parolaları, anahtarları ve gizli bilgileri ele geçirmek ve SSH parolalarını yakalamaktı. Saldırganlar, şifrelenmemiş trafiği analiz ederken, posta sunucularına yapılan şifrelenmemiş isteklere odaklandılar. Çıkış düğümlerinde şifrelenmemiş çalışmaya geri dönülmesini teşvik etmek için, posta sunucularıyla şifreli iletişim kurmak için kullanılan ağ portları engellendi. sunucularŞifrelenmemiş trafik anlık olarak analiz edildi.
SSH şifrelerini toplamak için, SSH istekleri saldırganların 12 sunucusundan birine yönlendirildi. Bu sunucular SSH bağlantılarını kabul etti ve saldırgan adına şifre istemi gösterdi. sunucuBağlantının kurulduğu sunucuya, sunucu anahtarları eşleşmediği için istemci tarafındaki SSH, bilinmeyen bir sunucuya bağlanma konusunda uyarı verdi. sunucu.
Kullanıcı bu uyarıyı dikkate almayıp şifreyi girerek bağlantı kurmaya çalışırsa, kötü amaçlı yazılım devreye girer. sunucu Meşru bir hedef SSH sunucusuna bağlantı kurdu, kurban tarafından girilen şifreyi sakladı ve SSH oturumu hakkındaki bilgileri ele geçirdi. Aynı zamanda, ele geçirilen şifreyle hedef sunucuya bağlandı ve üzerine Ebury kötü amaçlı yazılımını kurdu. Kontrolü ele geçirerek Linux-Tor çıkış düğümü olmayan sunucularda, saldırganlar torrc dosyasındaki ayarları değiştirerek bunları yeni, kötü amaçlı Tor çıkış düğümlerine dönüştürdüler.
Sorunu keşfeden araştırmacı, tüm kötü amaçlı çıkış düğümlerini belirlemek için exitmap yardımcı programını kullanarak tüm çıkış düğümlerini listeledi, her biri üzerinden bir SSH bağlantısı kurdu ve isteğin yönlendirildiğini doğruladı. Saldırganların ele geçirdikleri Tor düğümlerine tam olarak nasıl erişim sağladıkları belirsizliğini koruyor, ancak bazıları çeşitli tahminlerde bulundu.
Hosting operatörlerinin uzlaşmasına ilişkin varsayımlar.
Kaynak: opennet.ru
