יותר מ-300 צמתי יציאה של Tor נחטפו כדי ליירט תעבורת SSH ואימייל

פריצה ראשונית

בסוף אוגוסט השיג תוקף גישה לשרת ניהול של Tor באמצעות סיסמה תקפה שנעשה בה שימוש חוזר. לאחר מכן התקין התוקף באותו שרת את Ebury, דלת אחורית ל-Linux שהתגלתה לפני 12 שנים.

משרת הניהול התחבר התוקף דרך SSH לשרת Tor שני בשם Switzerland2, באמצעות מפתח RSA שהחוקרים לא מצאו בין המפתחות המורשים ב-Switzerland2. לאחר שהשיג שליטה ניהולית ב-Switzerland2, התקין שם התוקף את Ebury גם כן.

יירוט תעבורה

התוקף שינה את ההגדרות של שני צמתי יציאה המתארחים ב-Switzerland2, ובסופו של דבר נכללו בקמפיין 333 ממסרי יציאה, אם כי החוקרים לא קבעו כיצד השיגו התוקפים שליטה בכל השרתים שעליהם נשענת התשתית. קבוצת שינויים אחת הפנתה תעבורת SSH העוברת דרך Tor לאחד מ-12 שרתי יירוט בשליטת התוקפים. משתמשים שהתעלמו מאזהרות על שינוי במפתח המארח של SSH הזינו את סיסמאותיהם; התוקף גנב אותן, צפה בפקודות שהוקלדו בשרת ופתח חיבור שני כדי להדביק את השרת ב-Ebury.

קבוצת השינויים השנייה גרמה לצמתי היציאה לחסום את היציאות 25, 465, 587, 993 ו-995, המשמשות לקליטת סוגים שונים של דואר מוצפן, ולהמשיך לאפשר את היציאות לקבלת דואר לא מוצפן. אילו הורידו שירותי הדואר את רמת ההצפנה של החיבורים, היו התוקפים יכולים להשיג הודעות לא מוצפנות, אך לא ברור אם ניסיון כזה הצליח.

החקירה נמשכת

החטיפה התרחשה בין 2 ל-5 באוקטובר. מתנדב Tor בשם קבא תיאר את מה שקרה לו בבוקר יום שישי, 2 באוקטובר, והרשומה שפרסם הופיעה ביום שלישי. קבא כתב שיצר סקריפט ששלח שאילתות לכ-3,000 צמתי יציאה כדי לבדוק טביעות אצבע של SSH, והקים honeypot כדי לצפות בתוכנת היירוט מנסה להתחבר ולהתקין את Ebury.

כמה תעלומות נותרו. החוקרים לא קבעו כיצד השיגו התוקפים שליטה בכל השרתים הבסיסיים. אפשרות אחת היא שחברת אחסון המארחת אותם נפרצה, אך התיאוריה אינה חד-משמעית. קבא כתב שהשימוש ב-Ebury ואיסוף נרחב של נתונים לא מוצפנים מצביעים על קבוצת פשע בעלת מניע כספי, אך גם זו ספקולציה בלבד. שאלה פתוחה נוספת היא מדוע קיבל Switzerland2 מפתח RSA שאין ראיה לכך שהיה אישור SSH מורשה.

מקורות: Ars Technica