Неизвестные хакеры получили контроль над 333 выходными узлами Tor и изменили их настройки для перехвата незашифрованной электронной почты и перенаправления SSH-соединений через подконтрольные серверы. Об этом во вторник сообщил исследователь Kaba, волонтёр Tor. Атака продолжалась с 2 по 5 октября.
Первые признаки компрометации появились в конце августа. Как сообщили волонтёры Tor, злоумышленник воспользовался действующим паролем, который повторно применялся для доступа к серверу управления Tor. Затем на нём установили Ebury — бэкдор для Linux, обнаруженный 12 лет назад.
С сервера управления атакующий подключился по SSH к другому узлу Tor, известному как Switzerland2. Для этого применили RSA-ключ, который по неизвестной причине не нашли среди ключей, разрешённых на Switzerland2. Получив права администратора, злоумышленники установили Ebury и на этом сервере, после чего изменили конфигурацию двух размещённых на нём выходных узлов.
Позднее под атаку попали 333 выходных ретранслятора, однако способ получения контроля над всеми связанными серверами установить не удалось. Часть изменений направила проходивший через Tor SSH-трафик на один из 12 серверов-перехватчиков. Пользователи, проигнорировавшие предупреждение о смене ключа SSH-хоста, могли передать злоумышленникам свои пароли.
Другие настройки блокировали порты 25, 465, 587, 993 и 995, связанные с приёмом разных видов зашифрованной почты, но оставляли доступными порты для незашифрованных сообщений. Если почтовые сервисы понижали уровень защиты соединения, атакующие могли получить доступ к незашифрованным письмам через скомпрометированные узлы. Удалось ли провести такие понижения на практике, неизвестно.
Волонтёры Tor ранее описали первоначенный взлом сервера управления и Switzerland2, а также попытку перехвата незашифрованной почты. Новые детали, включая число затронутых выходных узлов и схему перенаправления SSH-трафика, Kaba раскрыл во вторник. «Если вам случайно достанется цепочка, выходящая через один из этих 333 заражённых узлов, сначала вы ничего не заметите», — написал он, добавив, что зашифрованный веб-трафик передаётся как обычно, но SSH-подключение через порт 22 незаметно перенаправляется на один из 12 серверов перехвата.