300-dən çox Tor çıxış qovşağı SSH və e-poçt trafikini tutmaq üçün ələ keçirilib

İlkin sızma

Avqustun sonunda hücumçu təkrar istifadə edilmiş etibarlı parolla Tor idarəetmə serverinə çıxış əldə edib. Daha sonra həmin serverə Ebury-ni, 12 il əvvəl aşkar edilmiş Linux arxa qapısını quraşdırıb.

İdarəetmə serverindən hücumçu SSH vasitəsilə Switzerland2 adlı ikinci Tor serverinə qoşulub və elə bir RSA açarı istifadə edib ki, təhqiqatçılar onu Switzerland2-nin icazəli açarları arasında tapa bilməyiblər. Switzerland2 üzərində inzibati nəzarət əldə etdikdən sonra hücumçu Ebury-ni orada da quraşdırıb.

Trafikin tutulması

Hücumçu Switzerland2-də yerləşən iki çıxış qovşağının parametrlərini dəyişib və kampaniyaya 333 çıxış relesi cəlb olunub; lakin təhqiqatçılar hücumçuların altyapıdakı bütün serverlərə necə nəzarət əldə etdiyini müəyyən edə bilməyiblər. Dəyişikliklərin bir qismi Tor-dan keçən SSH trafikini hücumçuların nəzarətində olan 12 müdaxilə serverindən birinə yönləndirib. SSH host açarının dəyişdiyi barədə xəbərdarlığa məhəl qoymayan istifadəçilər öz parollarını daxil ediblər; hücumçu həmin parolları oğurlayıb, serverdə yazılan əmrləri izləyib və ikinci bağlantı ilə serverə Ebury yoluxdurub.

Dəyişikliklərin ikinci qismi çıxış qovşaqlarının şifrələnmiş e-poçtun müxtəlif formaları üçün istifadə olunan 25, 465, 587, 993 və 995 portlarını bloklamasına səbəb olub, şifrələnməmiş e-poçt üçün portlar isə açıq qalıb. Əgər e-poçt xidmətləri bağlantıların şifrələmə səviyyəsini aşağı salsa idi, hücumçular şifrələnməmiş mesajları əldə edə bilərdilər, lakin belə cəhdlərdən hər hansı birinin uğurlu olub-olmadığı məlum deyil.

Araşdırma davam edir

Hücum oktyabrın 2-dən 5-dək davam edib. Tor könüllüsü Kaba oktyabrın 2-si cümə səhəri özünün də rastlaşdığı vəziyyəti təsvir edib, yazısı isə çərşənbə axşamı dərc olunub. Kaba bildirib ki, Tor-un təxminən 3 000 çıxış qovşağına sorğu göndərərək SSH barmaq izlərini yoxlayan skript hazırlayıb və müdaxilə proqramının sistemə daxil olub Ebury quraşdırmaq cəhdlərini izləmək üçün honeypot qurub.

Bir neçə məsələ hələ də aydın deyil. Təhqiqatçılar hücumçuların bütün əsas serverlərə necə nəzarət əldə etdiyini müəyyən edə bilməyiblər. Ehtimallardan biri odur ki, həmin serverləri hostinq edən şirkət hakerlər tərəfindən sındırılıb, lakin bu nəzəriyyə qəti deyil. Kaba yazıb ki, Ebury-dən istifadə və şifrələnməmiş məlumatların geniş toplanması maliyyə motivli cinayət qrupu göstərir, baxmayaraq ki, bu da sadəcə fərziyyədir. Digər açıq sual budur: Switzerland2 niyə icazəli SSH sertifikatı olduğuna dair heç bir sübut olmayan RSA açarını qəbul edib?

Mənbələr: Ars Technica