토르(Tor) 네트워크 내의 출구 노드(Exit Nodes) 333개가 포함된 조직적인 해킹 캠페인의 피해를 입었으며, 네트워크 자원봉사자가 발표한 보고서에 따르면 이 노드들은 암호화되지 않은 이메일 트래픽을 선호하고 공격자가 제어하는 서버를 통해 안전한 셸(SSH) 프로토콜 연결을 리디렉션하도록 재구성되었습니다.
공격은 지난 8월 공격자가 이전에 사용된 비밀번호를 이용해 토르 관리 서버에 대한 액세스 권한을 얻었을 때 시작되었으며, 이후 12년 전에 발견된 리눅스용 백도어인 Ebury라는 악성코드를 설치했습니다. 해킹은 Switzerland2라는 두 번째 토르 서버로 확대되었으며, 조사관들이 알 수 없는 이유로 해당 서버의 승인된 키 중에서 찾을 수 없는 RSA 키가 사용되었습니다.
가로채기 및 리디렉션 프로세스 세부 정보
조사에 따르면 피해를 입은 총 출구 노드 수는 333개였으며, 이 노드들은 이번 달 2일과 5일 사이에 두 가지 주요 공격을 수행하는 데 악용되었습니다:
- SSH 통신 가로채기: 토르 네트워크를 통과하는 SSH 트래픽이 공격자가 제어하는 12개의 가로채기 서버 중 하나로 리디렉션되었으며, 사용자가 키 변경 경고를 무시할 경우 비밀번호를 입력하라는 메시지가 표시됩니다.
- 이메일 타겟팅: 암호화된 이메일을 수용하는 데 사용되는 포트(25, 465, 587, 993, 995)가 차단되는 동시에 암호화되지 않은 포트는 열려 있어, 서비스가 암호화를 해제할 경우 공격자가 평문으로 메시지를 획득할 수 있도록 합니다.
해킹은 어떻게 감지되는가?
개인적으로 해킹 피해를 입은 네트워크 자원봉사자 카바(Kaba)는 감염된 노드를 통과할 때 사용자가 처음에는 웹 트래픽이 평소처럼 전달되므로 아무런 변화를 눈치채지 못할 수 있지만, 포트 22를 통한 연결 시도 시 원격 호스트 식별이 변경되었다는 명시적인 경고와 함께 공격자의 서버로 비정상적인 전환이 발생한다고 지적했습니다.
캠페인의 범위를 평가하기 위해 이 자원봉사자는 토르 네트워크의 약 3,000개 출구 노드를 스캔하고 수신된 SSH 지문의 유효성을 검사하는 스크립트를 작성했으며, 로그인 시도 및 악성코드 설치를 모니터링하기 위한 허니팟(Honeypot)을 설정했습니다.
이 사건이 보안 전문가들에게 시사하는 바는 무엇인가?
이 사건은 조사관들이 재정적 동기를 가진 범죄 집단이 Ebury 악성코드 사용의 배후에 있을 가능성이 높다고 보지만, 공격자가 어떻게 그토록 많은 수의 서버에 접근할 수 있었는지, 그리고 공격의 명확한 배후가 누구지에 대한 의문을 남깁니다.
사용자와 시스템 관리자에게 이는 무엇을 의미할까요? 이번 해킹은 데이터 보호에서 심층 방어 전략이 수행하는 결정적인 역할을 강조하며, 이메일 계정을 구성하여 암호화된 트래픽만 수용하고 암호화되지 않은 포트는 거부해야 할 필요성과 함께 SSH 키에 의존하고 기존 비밀번호 인증을 비활성화해야 할 필요성을 보여줍니다.