Mehr als 300 Exit-Knoten im Tor-Netzwerk waren Ziel einer gezielten Angriffskampagne, die insgesamt 333 Knoten umfasste. Diese wurden neu konfiguriert, um unverschlüsselten E-Verkehr zu bevorzugen und SSH-Verbindungen (Secure Shell Protocol) über von Angreifern kontrollierte Server umzuleiten, wie aus einem Bericht eines Netzwerk-Freiwilligen hervorgeht.
Die Angriffe begannen im vergangenen August, als ein Angreifer ein bereits zuvor verwendetes Passwort nutzte, um Zugriff auf einen Verwaltungsserver des Tor-Netzwerks zu erlangen. Anschließend installierten sie eine Schadsoftware namens Ebury, eine vor zwölf Jahren entdeckte Linux-Backdoor. Die Kompromittierung erstreckte sich zudem auf einen zweiten Tor-Server namens Switzerland2, wobei ein RSA-Schlüssel verwendet wurde, den Ermittler aus unbekannten Gründen nicht unter den autorisierten Schlüsseln für diesen Server finden konnten.
Details des Abfang- und Umleitungsprozesses
Untersuchungen ergaben, dass sich die Gesamtzahl der betroffenen Exit-Knoten auf 333 belief. Diese wurden zwischen dem 2. und 5. Oktober dieses Jahres für zwei Hauptarten von Angriffen ausgenutzt:
- Abfangen von SSH-Verbindungen: Durch das Tor-Netzwerk geleiteter SSH-Verkehr wurde zu einem von 12 Abfangservern umgeleitet, die von den Angreifern kontrolliert werden. Ignorieren Nutzer die Warnhinweise zur Schlüsseländerung, werden sie zur Eingabe ihrer Passwörter aufgefordert.
- E-Mail-Targeting: Die Ports für verschlüsselte E-Mails (25, 465, 587, 993 und 995) wurden gesperrt, während die unverschlüsselten Ports offen blieben. Dies ermöglicht es den Angreifern, Nachrichten im Klartext abzufangen, falls Dienste auf die Verschlüsselung verzichten.
Wie wird die Kompromittierung erkannt?
Der unter dem Namen Kaba bekannte Netzwerk-Freiwillige, der selbst Opfer des Angriffs wurde, wies darauf hin, dass ein Nutzer beim Passieren eines der infizierten Knoten zunächst keine Veränderung bemerken mag, da verschlüsselter Webverkehr wie gewohnt weitergeleitet wird. Ein Verbindungsversuch über Port 22 führt jedoch zu einer unerwarteten Umleitung auf die Server der Angreifer, begleitet von einer ausdrücklichen Warnung, dass sich die Identität des Remote-Hosts geändert hat (Remote Host Identification Has Changed).
Um den Umfang der Kampagne zu bewerten, entwickelte der Freiwillige ein Skript, um rund 3.000 Exit-Knoten im Tor-Netzwerk zu scannen und die Gültigkeit eingehender SSH-Fingerabdrücke zu überprüfen. Zudem richtete er ein Honeypot ein, um Anmeldeversuche und die Installation von Schadsoftware zu überwachen.
Was bedeutet dieses Ereignis für Sicherheitsexperten?
Dieser Vorfall wirft weiterhin Fragen auf, wie es den Angreifern gelingen konnte, Zugriff auf eine so große Anzahl von Servern zu erlangen, und wer genau hinter dem Angriff steckt. Ermittler gehen jedoch davon aus, dass eine kriminelle Vereinigung mit finanziellen Motiven hinter dem Einsatz der Ebury-Schadsoftware steht.
Was bedeutet dies für Nutzer und Systemadministratoren? Die Kompromittierung unterstreicht die entscheidende Rolle von Defense-in-Depth-Strategien zum Schutz von Daten. Sie verdeutlicht die Notwendigkeit, E-Mail-Konten so zu konfigurieren, dass sie ausschließlich verschlüsselten Verkehr akzeptieren und unverschlüsselte Ports ablehnen, sowie sich auf SSH-Schlüssel zu verlassen und die herkömmliche passwortbasierte Authentifizierung zu deaktivieren.