Más de 300 nodos de salida (Exit Nodes) dentro de la red Tor sufrieron una campaña de hackeo organizada que abarcó 333 nodos, los cuales fueron reconfigurados con el fin de priorizar el tráfico de correo electrónico no cifrado y redirigir las conexiones del protocolo de acceso seguro (SSH) a través de servidores controlados por los atacantes, según un informe publicado por uno de los voluntarios de la red.
Los ataques comenzaron en agosto pasado cuando el atacante utilizó una contraseña previamente utilizada para obtener acceso a un servidor de administración de la red Tor, tras lo cual instalaron un software malicioso conocido como Ebury, una puerta trasera diseñada para sistemas Linux que fue descubierta hace doce años. La brecha se extendió para incluir un segundo servidor de Tor llamado Switzerland2, donde se utilizó una llave RSA que los investigadores no pudieron encontrar entre las llaves autorizadas para este servidor por razones desconocidas.
Detalles del proceso de interceptación y redireccionamiento
Las investigaciones aclararon que el total de nodos de salida afectados ascendió a 333 nodos, los cuales fueron explotados para llevar a cabo dos partes principales de ataques entre el 2 y el 5 de octubre del mes en curso:
- Interceptación de conexiones SSH: El tráfico SSH que pasaba por la red Tor fue redirigido a uno de los 12 servidores de interceptación controlados por los atacantes y, cuando los usuarios ignoraban las advertencias de cambio de llave, se les pedía que ingresaran sus contraseñas.
- Objetivo del correo electrónico: Se bloquearon los puertos utilizados para aceptar correo electrónico cifrado (25, 465, 587, 993 y 995) manteniendo abiertos los puertos no cifrados, lo que permite a los atacantes intentar obtener los mensajes en texto plano en caso de que los servicios dejen de usar cifrado.
¿Cómo se detecta el hackeo?
El voluntario de la red conocido como Kaba, quien fue hackeado personalmente, señaló que el usuario podría no notar ningún cambio al principio al pasar por uno de los nodos infectados, ya que el tráfico web cifrado se transmite con normalidad, pero un intento de conexión a través del puerto 22 conduce a una redirección no programada hacia los servidores de los atacantes acompañada de una advertencia explícita de que la identificación del host remoto ha cambiado (Remote Host Identification Has Changed).
Para evaluar el alcance de la campaña, el voluntario creó un script para escanear unos 3,000 nodos de salida en la red Tor y verificar la validez de las huellas dactilares SSH entrantes, además de configurar una trampa informática (Honeypot) para monitorear los intentos de inicio de sesión y la instalación de software malicioso.
¿Qué representa este evento para los expertos en seguridad?
Este incidente deja interrogantes pendientes sobre cómo los atacantes lograron acceder a un número tan grande de servidores, así como sobre la entidad exacta detrás del ataque, a pesar de que los investigadores consideran probable que un grupo criminal motivado financieramente esté detrás del uso del software malicioso Ebury.
¿Qué significa esto para los usuarios y administradores de sistemas? Esta brecha enfatiza el papel crucial que desempeñan las estrategias de defensa en profundidad en la protección de datos, destaca la necesidad de configurar las cuentas de correo electrónico para aceptar exclusivamente tráfico cifrado rechazando los puertos no cifrados, y de depender de llaves SSH y deshabilitar la autenticación por contraseña tradicional.