Злоумышленники захватили 333 выходных узла Tor для перехвата SSH-соединений

Злоумышленники захватили 333 выходных узла Tor и использовали их для перехвата SSH-соединений, выяснил волонтёр Tor под псевдонимом Kaba. Пароли могли украсть у пользователей, которые приняли подменный ключ сервера и ввели пароль при входе через Tor.

Перехват происходил 2–5 октября: соединения перенаправляли на 12 серверов злоумышленников. Получив пароль, атакующие подключались к настоящему SSH-серверу и наблюдали за командами пользователя. Через отдельное соединение они устанавливали на него Ebury, бэкдор для Linux.

На захваченных узлах также блокировали порты для зашифрованной почты, оставляя доступ к незашифрованной. Если почтовый сервис переходил на соединение без шифрования, атакующие могли прочитать сообщения. Удалось ли добиться такого перехода и перехватить почту, неизвестно.

Первоначальный взлом начался в конце августа: атакующие вошли на управляющий сервер одного из операторов выходных узлов Tor с помощью повторно использованного пароля и установили Ebury. Затем они проникли по SSH на второй сервер, Switzerland2, и заразили его тем же бэкдором. Как злоумышленники получили доступ ко всем остальным серверам, исследователи пока не знают.

На пике 4 октября узлы с настройками атакующих давали 7,46% выходной ёмкости Tor, по анализу публичных данных каталога сети; к 5 октября в списке узлов для клиентов Tor не осталось ни одного из затронутых узлов. Число пострадавших неизвестно. Тем, кто с 1 по 5 октября принял незнакомый или изменившийся ключ сервера при входе по SSH через Tor, следует считать введённый пароль украденным, сменить его и проверить сервер на признаки Ebury. Ars Technica рекомендует запретить незашифрованные почтовые соединения и отключить вход по SSH с паролем в пользу ключей: подпись ключа привязана к сессии, поэтому перехватчик не может передать такой вход на настоящий сервер.