Thông tin chi tiết đã được công bố về một vụ việc trong đó tin tặc đã giành quyền kiểm soát 333 nút thoát Tor (Tor có tổng cộng khoảng 3000 nút thoát) và sử dụng chúng để chặn lưu lượng truy cập không mã hóa và chuyển hướng các kết nối SSH. Cuộc tấn công bắt đầu vào ngày 2 tháng 10 (tối thứ Sáu), nhưng đã bị phát hiện và bắt đầu bị chặn vào ngày 4 tháng 10. Vào ngày 5 tháng 10, tất cả các máy chủ bị xâm nhập đã bị tắt bởi người điều hành hoặc chính tin tặc. Cuộc điều tra cho thấy tin tặc đã truy cập vào các máy chủ hai tháng trước khi tấn công người dùng Tor và cài đặt phần mềm độc hại Ebury 1.8.3 trên các hệ thống bị xâm nhập.
Mục tiêu của cuộc tấn công là chặn bắt mật khẩu, khóa và thông tin bí mật trong lưu lượng truyền tải không mã hóa, cũng như thu thập mật khẩu SSH. Khi phân tích lưu lượng không mã hóa, những kẻ tấn công tập trung vào các yêu cầu không mã hóa gửi đến máy chủ thư điện tử. Để khuyến khích việc chuyển đổi trở lại hoạt động không mã hóa trên các nút thoát, các cổng mạng được sử dụng để thiết lập liên lạc mã hóa với máy chủ thư điện tử đã bị chặn. may chủLưu lượng truy cập không mã hóa đã được phân tích ngay lập tức.
Để thu thập mật khẩu SSH, các yêu cầu SSH đã được chuyển hướng đến một trong 12 máy chủ của kẻ tấn công. Các máy chủ này chấp nhận kết nối SSH và hiển thị lời nhắc nhập mật khẩu thay mặt cho... người phục vụ, nơi mà kết nối được thiết lập. Vì khóa máy chủ không khớp, ssh ở phía máy khách đã đưa ra cảnh báo về việc kết nối với một máy chủ không xác định. người phục vụ.
Nếu người dùng bỏ qua cảnh báo này và nhập mật khẩu để kết nối, thì phần mềm độc hại sẽ thực thi được lệnh. máy chủ Nó chuyển tiếp kết nối đến máy chủ SSH mục tiêu hợp pháp, lưu trữ mật khẩu do nạn nhân nhập vào và chặn thông tin về phiên SSH. Đồng thời, nó kết nối với máy chủ mục tiêu bằng mật khẩu đã thu thập được và cài đặt phần mềm độc hại Ebury lên đó. Bằng cách giành quyền kiểm soát... Linux- Đối với các máy chủ không phải là nút thoát Tor, những kẻ tấn công đã thay đổi cài đặt trong tệp torrc và biến chúng thành các nút thoát Tor độc hại mới.
Để xác định tất cả các nút thoát độc hại, nhà nghiên cứu phát hiện ra vấn đề đã sử dụng tiện ích exitmap để liệt kê tất cả các nút thoát, thiết lập kết nối SSH thông qua từng nút và xác minh rằng yêu cầu đã được chuyển hướng. Cách thức chính xác mà những kẻ tấn công giành được quyền truy cập vào các nút Tor bị chiếm đoạt vẫn chưa rõ ràng, nhưng một số người đã đưa ra nhiều giả thuyết khác nhau.
những giả định về sự xâm phạm quyền riêng tư của các nhà điều hành dịch vụ lưu trữ.
Nguồn: opennet.ru
