300-ზე მეტი Tor-ის გასასვლელი კვანძი გაიტაცეს SSH და ელფოსტის ტრაფიკის ჩასაჭრელად
აგვისტოს ბოლოდან 333 Tor-ის გასასვლელი კვანძი გაიტაცეს. ხელახლა გამოყენებული პაროლით მართვის სერვერზე Ebury-ის backdoor-ი დააყენეს, SSH ტრაფიკი 12 ჩამჭრელ სერვერზე გადაამისამართეს და დაშიფრული ელფოსტის პორტები დაბლოკეს.
თავდაპირველი შეღწევა
აგვისტოს ბოლოს თავდამსხმელმა Tor-ის მართვის სერვერზე წვდომა მოიპოვა ხელახლა გამოყენებული ვალიდური პაროლით. შემდეგ ამ სერვერზე დააყენა Ebury, Linux-ის ბექდორი, რომელიც 12 წლის წინ აღმოაჩინეს.
მართვის სერვერიდან თავდამსხმელი SSH-ით დაუკავშირდა მეორე Tor-ის სერვერს, სახელად Switzerland2, RSA გასაღებით, რომელიც გამომძიებლებმა Switzerland2-ის ავტორიზებულ გასაღებებს შორის ვერ იპოვეს. Switzerland2-ზე ადმინისტრატორული კონტროლის მოპოვების შემდეგ თავდამსხმელმა იქაც დააყენა Ebury.
ტრაფიკის ჩაჭერა
თავდამსხმელმა შეცვალა Switzerland2-ზე განთავსებული ორი გასასვლელი კვანძის პარამეტრები და კამპანიაში საბოლოოდ 333 გასასვლელი რელე ჩაერთო. ცვლილებების ერთმა ნაწილმა Tor-ზე გამავალი SSH ტრაფიკი თავდამსხმელების მიერ კონტროლირებად 12 ჩამჭრელ სერვერიდან ერთ-ერთზე გადაამისამართა. მომხმარებლები, რომლებიც SSH ჰოსტის გასაღების შეცვლის შესახებ გაფრთხილებას უგულებელყოფდნენ, პაროლს შეიყვანდნენ; თავდამსხმელი ამ პაროლებს იპარავდა, აკვირდებოდა სერვერზე აკრეფილ ბრძანებებს და მეორე კავშირით სერვერს Ebury-თი აინფიცირებდა.
ცვლილებების მეორე ნაწილის შედეგად გასასვლელმა კვანძებმა დაბლოკეს პორტები 25, 465, 587, 993 და 995, რომლებსაც დაშიფრული ელფოსტის სხვადასხვა ფორმის მისაღებად იყენებენ, ხოლო დაუშიფრავი ელფოსტის პორტები კვლავ ღია დატოვეს. თუ ელფოსტის სერვისები კავშირების დაშიფვრას შეამცირებდნენ, თავდამსხმელებს დაუშიფრავი შეტყობინებების მიღება შეეძლებოდათ, თუმცა გაურკვეველია, წარმატებით დასრულდა თუ არა რომელიმე ასეთი მცდელობა.
გამოძიება გრძელდება
გატაცება 2-დან 5 ოქტომბრამდე მიმდინარეობდა. Tor-ის მოხალისე Kaba-მ აღწერა, რაც მას პარასკევს, 2 ოქტომბერს დილით დაემართა, ხოლო მისი პოსტი სამშაბათს გამოქვეყნდა. Kaba-მ დაწერა, რომ შექმნა სკრიპტი, რომელიც Tor-ის დაახლოებით 3 000 გასასვლელ კვანძს SSH-ის fingerprint-ების შესამოწმებლად მიმართავდა, და honeypot-ი, რათა დაეკვირვებინა ჩამჭრელი პროგრამის მცდელობები სისტემაში შესვლისა და Ebury-ის დაყენებისა.
რამდენიმე საკითხი ჯერ კიდევ გაურკვეველია. გამომძიებლებმა ჯერ არ დაადგინეს, როგორ მოიპოვეს თავდამსხმელებმა კონტროლი ყველა იმ სერვერზე, რომელზეც ეს ინფრასტრუქტურა დგას. ერთი შესაძლებლობაა, რომ ჰაკერებმა გატეხეს კომპანია, რომელიც ამ სერვერებს ჰოსტავს, თუმცა ეს თეორია საბოლოო არ არის. Kaba-მ დაწერა, რომ Ebury-ის გამოყენება და დაუშიფრავი მონაცემების ფართო შეგროვება ფინანსური მოტივაციის მქონე კრიმინალურ ჯგუფზე მიუთითებს, თუმცა ესეც მხოლოდ ვარაუდია. კიდევ ერთი ღია კითხვაა, რატომ მიიღო Switzerland2-მა RSA გასაღები, მიუხედავად იმისა, რომ არ არსებობს მტკიცებულება, რომ ის ავტორიზებული SSH სერტიფიკატი იყო.
წყაროები: Ars Technica
SiTech — AI-გაძლიერებული ვებ დეველოპმენტი
ვქმნით სწრაფ, თანამედროვე ვებსაიტებს და AI-ს ვაერთიანებთ ქართული ბიზნესებისთვის. გაქვთ პროექტი ან კითხვა? სიამოვნებით დაგეხმარებით.