تعرضت أكثر من 300 عقدة خروج (Exit Nodes) ضمن شبكة تور (Tor) لحملة اختراق منظمة شملت 333 عقدة، حيث أُعيد تكوينها بهدف تفضيل حركة البريد الإلكتروني غير المشفر وإعادة توجيه اتصالات بروتوكول الوصول الآمن (SSH) عبر خوادم يتحكم بها المهاجمون، وفقاً لتقرير أصدره أحد متطوعي الشبكة.
بدأت الهجمات في شهر أغسطس الماضي عندما استخدم المهاجم كلمة مرور مستخدمة مسبقاً للحصول على صلاحيات الوصول إلى خادم إدارة تابع لشبكة تور، ليقوموا عقب ذلك بتثبيت برمجية خبيثة تُعرف باسم Ebury وهي باب خلفي مصمم لأنظمة لينكس اكتشف قبل اثني عشر عاماً. وامتد الاختراق ليشمل خادم تور ثانياً يُسمى Switzerland2، حيث استُخدم مفتاح RSA لم يتمكن المحققون من العثور عليه ضمن المفاتيح المصرح بها لهذا الخادم لأسباب مجهولة.
تفاصيل عملية الاعتراض والتوجيه
أوضحت التحقيقات أن إجمالي ع عقد الخروج المتضررة بلغ 333 عقدة، وقد جرى استغلالها في تنفيذ شقين رئيسيين من الهجمات خلال الفترة ما بين 2 و5 أكتوبر الجاري:
- اعتراض اتصالات SSH: أعيد توجيه حركة مرور SSH المارة عبر شبكة تور إلى واحد من أصل 12 خادم اعتراض يتحكم بها المهاجمون، وعندما يتجاهل المستخدمون تحذيرات تغيير المفتاح، يُطلب منهم إدخال كلمات المرور الخاصة بهم.
- استهداف البريد الإلكتروني: جرى حظر المنافذ المستخدمة لقبول البريد الإلكتروني المشفر (25 و465 و587 و993 و995) مع إبقاء المنافذ غير المشفرة مفتوحة، مما يتيح للمهاجمين محاولة الحصول على الرسائل بنسخها الواضحة في حال تراجعت الخدمات عن التشفير.
كيف يتم الكشف عن الاختراق؟
أشار متطوع الشبكة المعروف باسم Kaba، والذي تعرض للاختراق شخصياً، إلى أن المستخدم قد لا يلاحظ أي تغيير في البداية عند المرور عبر إحدى العقد المصابة، حيث تُمرر حركة الويب المشفرة كالمعتاد، ولكن محاولة اتصال عبر المنفذ 22 تؤدي إلى تحويل غير مبرمج نحو خوادم المهاجمين مرفقة بتحذير صريح بتغير هوية المضيف البعيد (Remote Host Identification Has Changed).
ولتقييم نطاق الحملة، أنشأ المتطوع سكربتاً لفحص نحو 3000 عقدة خروج في شبكة تور والتحقق من صحة بصمات SSH الواردة، إلى جانب إعداد مصيدة حاسوبية (Honeypot) لمراقبة محاولات تسجيل الدخول وتثبيت البرمجيات الخبيثة.
ما الذي يمثله هذا الحدث لخبراء الأمن؟
تترك هذه الحادثة تساؤلات قائمة حول الكيفية التي تمكن بها المهاجمون من الوصول إلى هذا العدد الكبير من الخوادم، فضلاً عن الجهة الواضحة خلف الهجوم، رغم ترجيح المحققين أن تكون مجموعة إجرامية ذات دوافع مالية هي من تقف وراء استخدام برمجية Ebury.
ماذا يعني ذلك للمستخدمين ومسؤولي الأنظمة؟ يؤكد هذا الاختراق على الدور الحاسم الذي تلعبه استراتيجيات الدفاع المتعمق في حماية البيانات، ويبرز ضرورة تكوين حسابات البريد الإلكتروني لقبول الحركة المشفرة حصراً مع رفض المنافذ غير المشفرة، بالإضافة إلى الاعتماد على مفاتيح SSH وتعطل المصادقة بكلمات المرور التقليدية.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.