300'ün Üzerinde Tor Çıkış Düğümleri SSH ve E-posta Trafiğini Yakalamak İçin Ele Geçirildi

İlk Sızma

Ağustos sonunda bir saldırgan, tekrar kullanılmış geçerli bir parola kullanarak bir Tor yönetim sunucusuna erişim sağladı. Saldırgan ardından 12 yıl önce keşfedilen bir Linux arka kapısı olan Ebury'yi o sunucuya kurdu.

Yönetim sunucusundan saldırgan, Switzerland2 adlı ikinci bir Tor sunucusuna, Switzerland2'deki yetkili anahtarlar arasında bulunamayan bir RSA anahtarı kullanarak SSH ile bağlandı. Switzerland2'nin idari kontrolünü ele geçiren saldırgan Ebury'yi oraya da kurdu.

Trafiğin Yakalanması

Saldırgan, Switzerland2'de barındırılan iki çıkış düğümünün ayarlarını değiştirdi ve kampanya 333 çıkış rölesini kapsadı; ancak soruşturmacılar saldırganların altyapıdaki tüm sunucuların kontrolünü nasıl ele geçirdiğini belirleyemedi. Değişikliklerin bir bölümü, Tor üzerinden geçen SSH trafiğini saldırganların kontrolündeki 12 yakalama sunucusundan birine yönlendirdi. SSH ana makine anahtarının değiştiğine dair uyarıları yok sayan kullanıcılar parolalarını girdi; saldırgan bu parolaları çaldı, sunucuda yazılan komutları izledi ve ikinci bir bağlantıyla sunucuya Ebury bulaştırdı.

İkinci değişiklik kümesi, çıkış düğümlerinin şifreli e-postanın çeşitli biçimleri için kullanılan 25, 465, 587, 993 ve 995 numaralı bağlantı noktalarını engellemesine, şifrelenmemiş e-posta bağlantı noktalarına ise izin vermeye devam etmesine yol açtı. E-posta hizmetleri bağlantıları daha düşük şifrelemeye indirseydi saldırganlar şifrelenmemiş mesajları ele geçirebilirdi, ancak bu tür girişimlerden herhangi birinin başarılı olup olmadığı belirsiz.

Soruşturma Sürüyor

Ele geçirme 2 Ekim ile 5 Ekim arasında gerçekleşti. Tor gönüllüsü Kaba, 2 Ekim Cuma sabahı kendisinin de karşılaştığı durumu anlattı; yazısı Salı günü yayımlandı. Kaba, yaklaşık 3.000 çıkış düğümüne sorgu göndererek SSH parmak izlerini sınayan bir betik yazdığını ve yakalama yazılımının oturum açıp Ebury kurma girişimlerini izlemek için bir honeypot kurduğunu belirtti.

Birkaç gizem sürüyor. Soruşturmacılar, saldırganların tüm altyapı sunucularının kontrolünü nasıl ele geçirdiğini henüz belirleyemedi. Olasılıklardan biri, bu sunucuları barındıran şirketin hacklenmiş olması, ancak bu teori kesin değil. Kaba, Ebury'nin kullanımı ve şifrelenmemiş verilerin geniş çaplı toplanmasının mali amaçlı bir suç grubuna işaret ettiğini, bunun da yalnızca bir tahmin olduğunu yazdı. Bir diğer açık soru, Switzerland2'nin yetkili bir SSH sertifikası olduğuna dair kanıt bulunmayan bir RSA anahtarını neden kabul ettiği.

Kaynaklar: Ars Technica