Ավելի քան 300 Tor ելքային հանգույց հափշտակվել է SSH-ի և էլփոստի երթևեկությունը գաղտնալսելու համար
Օգոստոսի վերջից հարձակվողները հափշտակել են 333 Tor ելքային հանգույց՝ կրկնակի օգտագործված գաղտնաբառով կառավարման սերվերում տեղադրելով Ebury հետին դուռը։ Նրանք SSH երթևեկությունը ուղղել են դեպի 12 ընդհատող սերվեր և արգելափակել գաղտնագրված փոստի պորտերը՝ չգաղտնագրված հաղորդագրություններ որսալու համար։
Սկզբնական ներխուժում
Օգոստոսի վերջին հարձակվողը մուտք է գործել Tor-ի կառավարման սերվեր՝ օգտագործելով վավեր գաղտնաբառ, որը նախկինում արդեն օգտագործվել էր։ Այնուհետև նա այդ սերվերի վրա տեղադրել է Ebury-ն՝ Linux-ի համար գրված հետին դուռ, որը հայտնաբերվել էր 12 տարի առաջ։
Կառավարման սերվերից հարձակվողը SSH-ով միացել է Switzerland2 անունով երկրորդ Tor սերվերին՝ օգտագործելով RSA բանալի, որը հետաքննողները չեն գտել Switzerland2-ի լիազորված բանալիների ցանկում։ Ստանալով Switzerland2-ի ադմինիստրատիվ վերահսկողությունը՝ նա Ebury-ն տեղադրել է նաև այնտեղ։
Երթևեկության ընդհատում
Հարձակվողը փոխել է Switzerland2-ում տեղակայված երկու ելքային հանգույցների կարգավորումները, և արշավում ի վերջո ներգրավվել է 333 ելքային ռելե, թեև հետաքննողները չեն պարզել, թե ինչպես են հարձակվողները վերահսկողություն ստացել հիմքում ընկած բոլոր սերվերների վրա։ Փոփոխությունների մի մասը Tor-ով անցնող SSH երթևեկությունը ուղղել է հարձակվողների վերահսկողության տակ գտնվող 12 ընդհատող սերվերից մեկին։ Այն օգտատերերը, ովքեր անտեսել են SSH հոսթի բանալու փոփոխության մասին նախազգուշացումը, մուտքագրել են իրենց գաղտնաբառերը։ Հարձակվողը գողացել է դրանք, դիտել սերվերում մուտքագրված հրամանները և երկրորդ միացումով վարակել սերվերը Ebury-ով։
Փոփոխությունների երկրորդ մասի պատճառով ելքային հանգույցները արգելափակել են 25, 465, 587, 993 և 995 պորտերը, որոնք օգտագործվում են գաղտնագրված էլփոստի տարբեր ձևերի համար, մինչդեռ չգաղտնագրված փոստի պորտերը մնացել են բաց։ Եթե փոստային ծառայությունները իջեցրել են կապի գաղտնագրման մակարդակը, հարձակվողները կարող էին ստանալ չգաղտնագրված հաղորդագրություններ, սակայն պարզ չէ՝ արդյոք նման փորձերից որևէ մեկը հաջողվել է։
Հետաքննությունը շարունակվում է
Հափշտակությունը տեղի է ունեցել հոկտեմբերի 2-ից 5-ը։ Tor-ի կամավոր Kaba-ն նկարագրել է, թե ինչ է պատահել իր հետ ուրբաթ առավոտյան՝ հոկտեմբերի 2-ին, իսկ նրա գրառումը հրապարակվել է երեքշաբթի։ Նա գրել է, որ ստեղծել է սկրիպտ, որը հարցումներ է ուղարկել Tor-ի մոտ 3 000 ելքային հանգույցներին՝ ստուգելու SSH մատնահետքերը, և կարգավորել է honeypot՝ դիտելու ընդհատող ծրագրի՝ մուտք գործելու և Ebury տեղադրելու փորձերը։
Մի քանի հարց մնում են անպատասխան։ Հետաքննողները դեռ չեն պարզել, թե ինչպես են հարձակվողները վերահսկողություն ստացել բոլոր հիմքային սերվերների վրա։ Հնարավորություններից մեկն այն է, որ հաքերները կոտրել են այն ընկերությունը, որը հոսթինգ է անում այդ սերվերները, սակայն այդ տեսությունը վերջնական չէ։ Kaba-ն գրել է, որ Ebury-ի օգտագործումը և չգաղտնագրված տվյալների լայն հավաքագրումը մատնանշում են ֆինանսական շահով պայմանավորված հանցավոր խումբ, թեև դա նույնպես միայն ենթադրություն է։ Մեկ այլ բաց հարց է, թե ինչու Switzerland2-ը ընդունել է RSA բանալի, թեև ապացույց չկա, որ այն լիազորված SSH սերտիֆիկատ էր։
Աղբյուրներ: Ars Technica
SiTech — AI-ով հզորացված վեբ մշակում
Ստեղծում ենք արագ ու ժամանակակից կայքեր և AI-ը ներդնում իրական բիզնես գործընթացներում։ Ունե՞ք նախագիծ կամ հարց։ Ուրախ կլինենք օգնել։