Tor ağı içerisindeki 333 çıkış düğümünü (Exit Nodes) kapsayan organize bir saldırı gerçekleştirildi. Ağ gönüllülerinden biri tarafından yayınlanan rapora göre, düğümler şifrelenmemiş e-posta trafiğini tercih edecek şekilde yeniden yapılandırıldı ve SSH protokolü bağlantıları saldırganların kontrolündeki sunuculara yönlendirildi.
Saldırılar geçtiğimiz Ağustos ayında, saldırganın daha önce kullanılmış bir şifreyi kullanarak bir Tor yönetim sunucusuna erişim yetkisi elde etmesiyle başladı. Saldırganlar, ardından on iki yıl önce keşfedilen ve Linux sistemleri için tasarlanmış bir arka kapı olan Ebury adlı kötü amaçlı yazılımı yüklediler. İhlal, Switzerland2 adlı ikinci bir Tor sunucusunu da kapsayacak şekilde genişledi; burada, araştırmacıların bilinmeyen nedenlerle sunucunun yetkili anahtarları arasında bulamadığı bir RSA anahtarı kullanıldı.
Ele geçirme ve yönlendirme operasyonunun detayları
Yapılan incelemeler, etkilenen toplam çıkış düğümü sayısının 333 olduğunu ve bu düğümlerin 2-5 Ekim tarihleri arasında iki ana saldırı türünü gerçekleştirmek için kullanıldığını ortaya koydu:
- SSH bağlantılarının ele geçirilmesi: Tor ağı üzerinden geçen SSH trafiği, saldırganların kontrolündeki 12 ele geçirme sunucusundan birine yönlendirildi. Kullanıcılar anahtar değişikliği uyarılarını görmezden geldiklerinde, kendilerinden şifrelerini girmeleri istendi.
- E-postaların hedeflenmesi: Şifreli e-postaları kabul etmek için kullanılan bağlantı noktaları (25, 465, 587, 993 ve 995) engellenirken, şifrelenmemiş bağlantı noktaları açık bırakıldı. Bu durum, hizmetlerin şifrelemeden vazgeçmesi durumunda saldırganların mesajları açık metin olarak elde etmeye çalışmasına olanak tanıdı.
İhlal nasıl tespit edildi?
Kişisel olarak saldırıya uğrayan ve Kaba adıyla bilinen ağ gönüllüsü, bir kullanıcı enfekte olmuş düğümlerden birinden geçerken başlangıçta herhangi bir değişiklik fark etmeyebileceğini belirtti. Şifreli web trafiği normal şekilde iletilirken, 22 numaralı bağlantı noktası üzerinden yapılan bir bağlantı girişimi, saldırganların sunucularına yönlendiriliyor ve "Uzak ana bilgisayar kimliği değişti" (Remote Host Identification Has Changed) şeklinde açık bir uyarı veriyordu.
Saldırının kapsamını değerlendirmek için gönüllü, Tor ağındaki yaklaşık 3000 çıkış düğümünü taramak ve gelen SSH parmak izlerinin doğruluğunu kontrol etmek için bir betik oluşturdu. Ayrıca, giriş denemelerini ve kötü amaçlı yazılım yüklemelerini izlemek için bir bal küpü (Honeypot) kurdu.
Bu olay güvenlik uzmanları için ne ifade ediyor?
Bu olay, saldırganların bu kadar çok sunucuya nasıl erişebildikleri ve saldırının arkasındaki failin kim olduğu konusunda soru işaretleri bırakıyor. Araştırmacılar, Ebury yazılımının kullanımı nedeniyle saldırının arkasında finansal motivasyonlu bir suç grubunun olabileceğini tahmin ediyor.
Bu durum kullanıcılar ve sistem yöneticileri için ne anlama geliyor? Bu ihlal, verileri korumada derinlemesine savunma stratejilerinin oynadığı kritik rolü vurguluyor. E-posta hesaplarının yalnızca şifreli trafiği kabul edecek şekilde yapılandırılması, şifrelenmemiş bağlantı noktalarının reddedilmesi, SSH anahtarlarının kullanılması ve geleneksel şifre tabanlı kimlik doğrulamanın devre dışı bırakılması gerekliliğini ortaya koyuyor.