Torネットワーク内の300を超える出口ノード（Exit Nodes）が、計333ノードを巻き込んだ組織的な侵害キャンペーンの標的となりました。ネットワークのボランティアによる報告書によると、これらのノードは、暗号化されていない電子メールトラフィックを優先し、Secure Shell（SSH）プロトコル通信を攻撃者が制御するサーバーへとリダイレクトするように再設定されました。
攻撃は昨年8月に開始され、攻撃者が使い回しのパスワードを使用してTorの管理サーバーへのアクセス権を取得し、その後、12年前に発見されたLinux向けバックドアである「Ebury」と呼ばれるマルウェアをインストールしました。この侵害は「Switzerland2」と呼ばれる2台目のTorサーバーにまで及び、何らかの理由で調査員がこのサーバーの許可済みキーの中から見つけられなかったRSAキーが使用されました。
傍受とリダイレクトのプロセスの詳細
調査によると、影響を受けた出口ノードの総数は333に達し、これらは今月10月2日から5日の期間に、主に2つの攻撃を実行するために悪用されました：
- SSH通信の傍受：Torネットワークを通過するSSHトラフィックは、攻撃者が制御する12台の傍受用サーバーのいずれかにリダイレクトされました。ユーザーがキー変更の警告を無視した場合、パスワードの入力を求められます。
- 電子メールの標的化：暗号化された電子メールの送受信に使用されるポート（25、465、587、993、995）がブロックされる一方で、暗号化されていないポートは開いたままにされ、サービス側が暗号化をフォールバックした場合に攻撃者が平文でメッセージを取得できるようにしました。
侵害の検出方法
自身も侵害を受けた「Kaba」として知られるネットワークのボランティアは、暗号化されたWebトラフィックは通常通り通過するため、侵害されたノードを通過する際、ユーザーは最初は何も変化に気づかないかもしれないと指摘しています。しかし、ポート22を介した接続を試みると、リモートホストの識別情報が変更されたという明示的な警告とともに、攻撃者のサーバーへと予定外のリダイレクトが発生します。
このキャンペーンの範囲を評価するため、このボランティアはTorネットワーク内の約3000の出口ノードをスキャンして受信するSSHのフィンガープリントの有効性を検証するスクリプトを作成し、さらにログイン試行やマルウェアのインストールを監視するためのハニーポット（Honeypot）を準備しました。
このインシデントがセキュリティ専門家にとって意味するもの
この事件は、攻撃者がどのようにしてこれほど多くのサーバーへのアクセスを可能にしたのかという疑問を残すと同時に、調査員は金銭目的の犯罪グループがEburyマルウェアの使用の背後にいると推測しているものの、攻撃の明確な黒幕については疑問を残したままとなっています。
これはユーザーやシステム管理者にとって何を意味するのでしょうか？この侵害は、データの保護における多層防御戦略の極めて重要な役割を再確認させるとともに、電子メールアカウントを暗号化されたトラフィックのみを受け入れて暗号化されていないポートを拒否するように設定する必要性や、従来のパスワード認証を無効にしてSSHキーに依存することの重要性を浮き彫りにしています。