Более 300 выходных узлов (Exit Nodes) в сети Tor подверглись организованной хакерской кампании, затронувшей 333 узла. Они были переконфигурированы с целью приоритизации незашифрованного трафика электронной почты и перенаправления соединений по протоколу безопасного доступа (SSH) через подконтрольные злоумышленникам серверы, согласно отчету, опубликованному одним из волонтеров сети.
Атаки начались в августе прошлого года, когда злоумышленник использовал ранее скомпрометированный пароль для получения доступа к серверу управления сети Tor. После этого они установили вредоносное ПО под названием Ebury — бэкдор для Linux, обнаруженный двенадцать лет назад. Взлом распространился на второй сервер Tor под названием Switzerland2, где использовался ключ RSA, который следователям по неизвестным причинам не удалось обнаружить среди авторизованных ключей для этого сервера.
Детали процесса перехвата и маршрутизации
Расследование показало, что общее число затронутых выходных узлов составило 333. Они использовались для проведения двух основных типов атак в период со 2 по 5 октября текущего года:
- Перехват SSH-соединений: Трафик SSH, проходящий через сеть Tor, перенаправлялся на один из 12 серверов перехвата, контролируемых злоумышленниками. Когда пользователи игнорировали предупреждения об изменении ключа, у них запрашивали ввод паролей.
- Атака на электронную почту: Порты, используемые для приема зашифрованной электронной почты (25, 465, 587, 993 и 995), были заблокированы, в то время как незашифрованные порты остались открытыми. Это позволяет злоумышленникам пытаться получить сообщения в незашифрованном виде, если сервисы отказываются от шифрования.
Как обнаруживается взлом?
Волонтер сети по имени Kaba, который сам подвергся взлому, отметил, что поначалу пользователь может не заметить никаких изменений при прохождении через один из зараженных узлов, поскольку зашифрованный веб-трафик передается в обычном режиме. Однако попытка соединения через порт 22 приводит к несанкционированному перенаправлению на серверы злоумышленников, сопровождаемому явным предупреждением об изменении идентификации удаленного хоста (Remote Host Identification Has Changed).
Для оценки масштабов кампании волонтер создал скрипт для сканирования примерно 3000 выходных узлов сети Tor и проверки корректности поступающих SSH-отпечатков, а также развернул компьютерную ловушку (honeypot) для мониторинга попыток входа в систему и установки вредоносного ПО.
Что этот инцидент означает для специалистов по безопасности?
Этот инцидент оставляет открытыми вопросы о том, как злоумышленникам удалось получить доступ к такому большому количеству серверов, а также о конкретной стороне, стоящей за атакой, несмотря на предположения следователей о том, что за использованием вредоносного ПО Ebury стоит финансово мотивированная преступная группировка.
Что это значит для пользователей и системных администраторов? Данный взлом подчеркивает важнейшую роль стратегий эшелонированной защиты в обеспечении безопасности данных, а также указывает на необходимость настройки учетных записей электронной почты исключительно для приема зашифрованного трафика с отказом от незашифрованных портов, в дополнение к использованию ключей SSH и отключению аутентификации по традиционным паролям.