Mais de 300 nós de saída (Exit Nodes) da rede Tor sofreram uma campanha de invasão coordenada que abrangeu 333 nós, os quais foram reconfigurados para priorizar o tráfego de e-mail não criptografado e redirecionar conexões do protocolo Secure Shell (SSH) por meio de servidores controlados pelos atacantes, de acordo com um relatório publicado por um voluntário da rede.
Os ataques começaram em agosto passado, quando o atacante usou uma senha reutilizada para obter acesso a um servidor de gerenciamento da rede Tor, instalando em seguida um malware conhecido como Ebury, uma backdoor projetada para sistemas Linux descoberta há doze anos. A invasão se estendeu para incluir um segundo servidor Tor chamado Switzerland2, onde foi usada uma chave RSA que os investigadores não conseguiram encontrar entre as chaves autorizadas para esse servidor por motivos desconhecidos.
Detalhes do processo de interceptação e redirecionamento
As investigações mostraram que o total de nós de saída afetados chegou a 333, tendo sido explorados para executar duas partes principais de ataques entre os dias 2 e 5 de outubro:
- Interceptação de conexões SSH: O tráfego SSH que passava pela rede Tor foi redirecionado para um de 12 servidores de interceptação controlados pelos atacantes e, quando os usuários ignoravam os avisos de alteração de chave, era solicitado que inserissem suas senhas.
- Aurealização de e-mails: As portas usadas para aceitar e-mail criptografado (25, 465, 587, 993 e 995) foram bloqueadas, mantendo abertas as portas não criptografadas, permitindo que os atacantes tentassem obter as mensagens em texto claro caso os serviços recuassem na criptografia.
Como a invasão é detectada?
O voluntário da rede conhecido como Kaba, que foi pessoalmente afetado pela invasão, apontou que o usuário pode não notar nenhuma alteração inicialmente ao passar por um dos nós comprometidos, pois o tráfego da Web criptografado passa normalmente, mas uma tentativa de conexão pela porta 22 resulta em um redirecionamento não programado para os servidores dos atacantes, acompanhado de um aviso explícito de que a identificação do host remoto mudou (Remote Host Identification Has Changed).
Para avaliar o escopo da campanha, o voluntário criou um script para verificar cerca de 3.000 nós de saída na rede Tor e validar as impressões digitais SSH recebidas, além de configurar uma armadilha computacional (Honeypot) para monitorar tentativas de login e a instalação de malware.
O que este evento representa para os especialistas de segurança?
Este incidente deixa dúvidas sobre como os atacantes conseguiram acessar um número tão grande de servidores, bem como sobre a identidade clara por trás do ataque, embora os investigadores considerem provável que um grupo criminoso motivado financeiramente esteja por trás do uso do malware Ebury.
O que isso significa para usuários e administradores de sistemas? Esta invasão enfatiza o papel crucial que as estratégias de defesa em profundidade desempenham na proteção de dados e destaca a necessidade de configurar contas de e-mail para aceitar tráfego criptografado exclusivamente, rejeitando portas não criptografadas, além de confiar em chaves SSH e desativar a autenticação por senha tradicional.