أكثر من 300 عقدة خروج Tor مخترقة لاعتراض حركة مرور SSH والبريد الإلكتروني

الاختراق الأولي

في أواخر أغسطس حصل مهاجم على وصول إلى خادم إدارة Tor باستخدام كلمة مرور صالحة أُعيد استخدامها. ثم ثبّت المهاجم على ذلك الخادم Ebury، وهو باب خلفي لنظام Linux اكتُشف قبل 12 عاماً.

ومن خادم الإدارة اتصل المهاجم عبر SSH بخادم Tor ثانٍ يُسمى Switzerland2 باستخدام مفتاح RSA لم يتمكن المحققون من العثور عليه بين المفاتيح المصرح بها على Switzerland2. وبعد أن حصل على تحكم إداري في Switzerland2، ثبّت المهاجم Ebury هناك أيضاً.

اعتراض حركة المرور

غيّر المهاجم إعدادات عقدتَي خروج تستضيفهما Switzerland2، وانتهى الأمر بمشاركة 333 مرحل خروج في الحملة، وإن لم يحدد المحققون كيف سيطر المهاجمون على جميع الخوادم الأساسية. وأعادت مجموعة تغييرات توجيه حركة SSH العابرة لـ Tor إلى واحد من 12 خادم اعتراض يتحكم بها المهاجمون. أما المستخدمون الذين تجاهلوا التحذيرات من تغيّر مفتاح مضيف SSH فقد أدخلوا كلمات مرورهم، فسرقها المهاجم وراقب الأوامر المكتوبة على الخادم وفتح اتصالاً ثانياً لإصابة الخادم بـ Ebury.

وتسببت مجموعة تغييرات ثانية في أن تحجب عقد الخروج المنافذ 25 و465 و587 و993 و995، وهي منافذ تُستخدم لقبول أشكال مختلفة من البريد المشفر، مع إبقاء المنافذ المخصصة للبريد غير المشفر مفتوحة. ولو خفّضت خدمات البريد مستوى تشفير الاتصالات لتمكن المهاجمون من الحصول على رسائل غير مشفرة، لكن من غير الواضح ما إذا كانت أي من محاولات التخفيض قد نجحت.

التحقيق مستمر

وقع الاختراق بين 2 و5 أكتوبر. ووصف متطوع Tor المعروف باسم Kaba ما حدث له صباح الجمعة 2 أكتوبر، ونُشر مقاله يوم الثلاثاء. وكتب Kaba أنه أنشأ نصاً برمجياً أرسل استعلامات إلى نحو 3000 عقدة خروج لاختبار بصمات SSH، وأعد مصيدة honeypot لمراقبة محاولات برنامج الاعتراض تسجيل الدخول وتثبيت Ebury.

لا تزال عدة ألغاز قائمة. فلم يحدد المحققون كيف سيطر المهاجمون على جميع الخوادم التي تقوم عليها هذه البنية. وإحدى الاحتمالات أن تكون شركة تستضيف هذه الخوادم قد تعرضت للاختراق، لكن هذه النظرية غير حاسمة. وكتب Kaba أن استخدام Ebury والجمع الواسع للبيانات غير المشفرة يشيران إلى مجموعة إجرامية بدوافع مالية، مضيفاً أن هذا مجرد تكهن. ويبقى سؤال مفتوح آخر: لماذا قبل Switzerland2 مفتاح RSA لا يوجد دليل على أنه كان شهادة SSH مصرح بها.

المصادر: Ars Technica