Понад 300 вузлів виходу Tor захоплено для перехоплення трафіку SSH та електронної пошти

Початкове проникнення

Наприкінці серпня зловмисник отримав доступ до сервера керування Tor, використавши дійсний пароль, який уже застосовувався раніше. Потім він установив на цьому сервері Ebury, бекдор для Linux, виявлений 12 років тому.

Із сервера керування зловмисник підключився через SSH до другого сервера Tor під назвою Switzerland2, використавши ключ RSA, якого слідчі не знайшли серед авторизованих ключів Switzerland2. Отримавши адміністративний контроль над Switzerland2, він установив Ebury і там.

Перехоплення трафіку

Зловмисник змінив налаштування двох вузлів виходу, розміщених на Switzerland2, і зрештою до кампанії було залучено 333 вузли виходу. Один набір змін перенаправив трафік SSH, що проходить через Tor, на один із 12 серверів перехоплення, контрольованих зловмисниками. Користувачі, які ігнорували попередження про зміну ключа хоста SSH, вводили свої паролі; зловмисник викрадав їх, спостерігав за командами, набраними на сервері, і другим з'єднанням заражав сервер Ebury.

Другий набір змін змусив вузли виходу блокувати порти 25, 465, 587, 993 і 995, які використовують для різних форм зашифрованої електронної пошти, тоді як порти для незашифрованої пошти залишалися відкритими. Якби поштові сервіси знизили рівень шифрування з'єднань, зловмисники могли б отримати незашифровані повідомлення, але невідомо, чи якась така спроба вдалася.

Розслідування триває

Захоплення тривало з 2 до 5 жовтня. Волонтер Tor Каба описав те, що сталося з ним уранці в п'ятницю, 2 жовтня, а його допис опублікували у вівторок. Каба створив скрипт, який надсилав запити до приблизно 3000 вузлів виходу для перевірки відбитків SSH, і налаштував honeypot, щоб спостерігати за спробами програми перехоплення увійти в систему та встановити Ebury.

Кілька загадок залишаються. Слідчі не встановили, як зловмисники отримали контроль над усіма серверами, на яких тримається ця інфраструктура. Одна з можливостей полягає в тому, що зламали компанію, яка їх розміщує, але ця теорія не є остаточною. Каба писав, що використання Ebury і широкий збір незашифрованих даних указують на фінансово вмотивоване злочинне угруповання, хоча це лише припущення. Ще одне відкрите питання: чому Switzerland2 прийняв ключ RSA, хоча немає доказів, що це був авторизований сертифікат SSH.

Джерела: Ars Technica