Опубліковано деталі інциденту, під час якого зловмисникам вдалося отримати контроль над 333 вихідними вузлами мережі Tor (загалом у Tor близько 3000 вихідних вузлів) та організувати на них перехоплення нешифрованого трафіку та перенаправлення SSH-з'єднань. Атака розпочалася 2 жовтня (у п'ятницю ввечері), але була виявлена та почала блокуватися 4 жовтня. 5 жовтня всі скомпрометовані сервери було відключено операторами або самими атакуючими. Розгляд показав, що атакуючі отримали доступ до серверів за два місяці до початку атаки на користувачів Tor та встановили у скомпрометованих системах шкідливе програмне забезпечення Ebury 1.8.3.
Метою атаки було перехоплення паролів, ключів та конфіденційної інформації у транзитному незашифрованому трафіку, а також захоплення паролів до SSH. Під час аналізу незашифрованого трафіку атакуючі зосередилися на зверненнях без шифрування до поштових серверів. Для стимулювання відкату на роботу без шифрування на вихідних вузлах було здійснено блокування мережевих портів, які застосовуються для організації шифрованого каналу зв'язку з поштовими серверами. Нешифрований трафік аналізувався на льоту.
Для збору паролів до SSH було організовано перенаправлення SSH-запитів на один із 12 серверів зловмисників. Дані сервери приймали з'єднання SSH і виводили запит пароля від імені сервера, До якого здійснювалося підключення. Оскільки хостові ключі не збігалися, ssh на стороні клієнта видавав попередження про підключення до невідомого сервера.
Якщо користувач ігнорував це попередження та вводив пароль для підключення, то шкідливий сервер транслював через себе підключення до легітимного цільового SSH-сервера, зберігав введений жертвою пароль та перехоплював інформацію про дії в SSH-сеансі. Паралельно здійснювалося підключення до цільового сервера із захопленим паролем та встановлення на нього шкідливого ПЗ Ebury. Отримуючи контроль над Linux-серверами, що не є вихідними вузлами Tor, атакуючі змінювали налаштування у файлі torrc і перетворювали їх на нові шкідливі вихідні вузли Tor.
Для визначення всіх шкідливих вихідних вузлів дослідник використав утиліту exitmap для перебору всіх вихідних вузлів, установки SSH-з'єднання через кожен з них і перевірки факту перенаправлення запиту. Як саме атакуючі отримали доступ до захоплених Tor-вузлів поки що не ясно, серед іншого висловлюються
припущення про компрометацію операторів хостингу.
Джерело: opennet.ru
