Plus de 300 nœuds de sortie (Exit Nodes) du réseau Tor ont fait l'objet d'une campagne de piratage coordonnée ciblant 333 nœuds, lesquels ont été reconfigurés pour privilégier le trafic de messagerie non chiffré et rediriger les connexions du protocole d'accès sécurisé (SSH) via des serveurs contrôlés par les assaillants, selon un rapport publié par un bénévole du réseau.
Les attaques ont débuté au mois d'août dernier lorsqu'un attaquant a utilisé un mot de passe réutilisé pour obtenir un accès administrateur à un serveur de gestion de Tor, avant d'installer un logiciel malveillant connu sous le nom d'Ebury, une porte dérobée conçue pour les systèmes Linux découverte il y a douze ans. La compromission s'est étendue à un second serveur Tor nommé Switzerland2, où une clé RSA a été utilisée sans que les enquêteurs ne parviennent à la retrouver parmi les clés autorisées de ce serveur, pour des raisons inexpliquées.
Détails du processus d'interception et de routage
Les enquêtes ont révélé que le nombre total de nœuds de sortie affectés s'élevait à 333 et qu'ils ont été exploités pour mener deux volets principaux d'attaques entre le 2 et le 5 octobre en cours :
- Interception des connexions SSH : Le trafic SSH transitant par le réseau Tor a été redirigé vers l'un des 12 serveurs d'interception contrôlés par les attaquants. Lorsque les utilisateurs ignorent les avertissements concernant le changement de clé, il leur est demandé de saisir leurs mots de passe.
- Ciblage de la messagerie électronique : Les ports utilisés pour accepter le courrier électronique chiffré (25, 465, 587, 993 et 995) ont été bloqués tout en maintenant les ports non chiffrés ouverts, permettant ainsi aux attaquants de tenter d'obtenir les messages en clair si les services venaient à abandonner le chiffrement.
Comment la compromission est-elle détectée ?
Le bénévole du réseau connu sous le pseudonyme de Kaba, qui a lui-même été victime de l'attaque, a indiqué qu'un utilisateur peut ne remarquer aucun changement au départ en passant par l'un des nœuds compromis, le trafic Web chiffré transitant normalement. Cependant, toute tentative de connexion via le port 22 entraîne une redirection non programmée vers les serveurs des attaquants, accompagnée d'un avertissement explicite indiquant que l'identité de l'hôte distant a changé (Remote Host Identification Has Changed).
Pour évaluer l'ampleur de la campagne, le bénévole a créé un script permettant de scanner environ 3 000 nœuds de sortie du réseau Tor et de vérifier la validité des empreintes SSH entrantes, tout en mettant en place un pot-de-miel (Honeypot) pour surveiller les tentatives de connexion et l'installation de logiciels malveillants.
Que représente cet événement pour les experts en sécurité ?
Cet incident laisse en suspens des questions sur la manière dont les attaquants ont réussi à accéder à un nombre aussi important de serveurs, ainsi que sur l'identité exacte du groupe à l'origine de l'attaque, bien que les enquêteurs privilégient la piste d'un groupe criminel motivé par appât du gain utilisant le logiciel malveillant Ebury.
Qu'est-ce que cela signifie pour les utilisateurs et les administrateurs système ? Cette compromission souligne le rôle crucial des stratégies de défense en profondeur dans la protection des données et met en évidence la nécessité de configurer les comptes de messagerie pour accepter exclusivement le trafic chiffré tout en rejetant les ports non chiffrés, en plus de s'appuyer sur des clés SSH et de désactiver l'authentification par mot de passe traditionnel.