Зловмисники захопили 333 вихідні вузли Tor для перехоплення SSH
Зловмисники скомпрометували 333 вихідні вузли Tor, перенаправляли SSH-з’єднання та намагалися перехопити незашифровану пошту.
Невідомі зловмисники з 2 до 5 жовтня скомпрометували 333 вихідні вузли мережі Tor та переналаштували їх для перехоплення SSH-з’єднань і спроб доступу до незашифрованих електронних листів. Як повідомляє Ars Technica, зашифрований вебтрафік через ці вузли передавався звичайним чином, однак SSH-трафік на порту 22 перенаправляли на один із 12 серверів перехоплення, контрольованих атакувальниками.
Користувачі SSH бачили попередження про зміну ключа віддаленого сервера. За даними дослідника Tor під псевдонімом Kaba, ті, хто ігнорував це застереження та вводив пароль, могли передати його зловмисникам. Після цього атакувальники відкривали з’єднання з цільовим сервером, спостерігали за введеними командами та намагалися встановити на нього бекдор Ebury для Linux.
Спроба перехопити пошту
Інше налаштування скомпрометованих вузлів блокувало порти 25, 465, 587, 993 і 995, які використовують для різних форм зашифрованого поштового трафіку. Водночас вузли пропускали порти для отримання незашифрованої пошти. Якщо поштові сервіси знижували рівень захисту з’єднання, зловмисники могли отримати доступ до повідомлень у відкритому вигляді. Чи були успішними такі спроби зниження захисту, наразі не встановлено.
Щоб дослідити кампанію, Kaba перевіряв приблизно 3 000 вихідних вузлів Tor: тестовий сервер визначав, чи надходило з’єднання від справжнього вузла або від одного з 12 серверів перехоплення. Дослідник також розгорнув пастку, у якій зафіксував спроби програмного забезпечення для перехоплення увійти до системи та встановити Ebury.
Початковий доступ і невстановлені обставини
За даними волонтерів Tor, проникнення почалося наприкінці серпня. Атакувальник скористався чинним паролем, який повторно використовували, щоб отримати доступ до сервера керування Tor, а потім встановив на ньому Ebury. З цього сервера він через SSH підключився до іншого сервера Tor під назвою Switzerland2, використавши RSA-ключ, якого дослідники не знайшли серед дозволених ключів сервера.
Після отримання адміністративного контролю над Switzerland2 зловмисники встановили Ebury і на ньому та змінили конфігурацію двох розміщених там вихідних вузлів. Водночас волонтери Tor не встановили, яким чином атакувальники здобули контроль над усіма серверами, що забезпечували роботу 333 вузлів. Серед версій розглядають компрометацію компанії-хостера, але ця версія не підтверджена.
