Napadači preuzeli 333 Tor izlazna čvora i presretali SSH lozinke i e-mail

Više od 300 izlaznih čvorova anonimne mreže Tor bilo je početkom oktobra pod kontrolom nepoznatih napadača, koji su ih prepravili tako da presreću SSH konekcije i pogoduju nešifriranom e-mail saobraćaju. Detalje kampanje objavio je u utorak Tor volonter koji se potpisuje kao Kaba, a prema njegovom izvještaju u napad je ukupno bilo uključeno 333 izlazna releja.

Samo presretanje saobraćaja trajalo je od 2. do 5. oktobra, ali je priprema napada počela znatno ranije, krajem augusta. Prema navodima Tor volontera, napadač je tada upotrijebio važeću lozinku koja je ranije bila ponovo korištena i tako ušao na jedan od Torovih upravljačkih servera. Na njega je instalirao Ebury, backdoor za Linux otkriven prije 12 godina.

Kako je napad izveden

S upravljačkog servera napadač se preko SSH-a povezao na drugi Tor server nazvan Switzerland2, koristeći RSA ključ koji istražitelji, iz nepoznatih razloga, nisu uspjeli pronaći među ovlaštenim ključevima tog servera. Dobivši administratorski pristup, i tamo je postavio Ebury, a zatim izmijenio postavke na dva izlazna čvora koja je Switzerland2 hostao. Na koji način su napadači došli do kontrole nad svim ostalim serverima u pozadini 333 čvora, istraga još nije utvrdila.

Izmjene na kompromitovanim čvorovima išle su u dva smjera. Prvi set promjena preusmjeravao je SSH saobraćaj koji prolazi kroz Tor na jedan od 12 presretačkih servera pod kontrolom napadača. Korisnici koji bi zanemarili upozorenje da se promijenio SSH host ključ unosili bi svoje lozinke direktno napadaču. Kaba navodi da se upravo to dogodilo i njemu jednog petka ujutro: šifrirani web saobraćaj prolazio je normalno, ali je pokušaj SSH konekcije preko porta 22 završio na presretačkom serveru, uz standardno upozorenje sistema da je identitet udaljenog hosta promijenjen i da je moguć napad „čovjek u sredini“.

Daljnja analiza pokazala je šta se dešava onima koji upozorenje ignorišu: napadač bi prvo ukrao SSH lozinku, zatim otvorio konekciju na server i pratio sve unesene komande, a potom kroz drugu konekciju zarazio server Eburyjem.

Drugi set izmjena odnosio se na e-mail. Kompromitovani čvorovi blokirali su portove 25, 465, 587, 993 i 995, koji se koriste za različite oblike šifrirane e-pošte, dok su portovi za nešifrirani e-mail ostali otvoreni. Ako bi e-mail servis u takvoj situaciji spustio konekciju na nešifriranu, napadači su preko izlaznih čvorova mogli doći do poruka u čitljivom obliku. Nije poznato je li ijedan takav pokušaj uspio.

Kako je otkriveno

Da bi utvrdio razmjere kampanje, Kaba je napisao skriptu koja je ispitala svih otprilike 3.000 Torovih izlaznih čvorova i provjerila primaju li ispravan SSH otisak s testnog servera. Testni server je zatim utvrđivao dolazi li konekcija s legitimnog izlaznog čvora ili s jednog od 12 presretačkih servera. Postavljen je i honeypot, na kojem je promatrano kako se softver za presretanje pokušava prijaviti i instalirati Ebury.

Tor volonteri ranije su djelimično opisali početni upad na upravljački server i Switzerland2, kao i pokušaj presretanja nešifrirane e-pošte. Izvještaj objavljen u utorak donio je niz novih detalja, uključujući broj kompromitovanih čvorova i način na koji je SSH saobraćaj preusmjeravan.

Otvorena pitanja

Nekoliko ključnih pitanja ostaje bez odgovora. Nije jasno kako su napadači pristupili tolikom broju servera; jedna od mogućnosti je da je hakovana kompanija koja ih hosta, ali ta teorija nije potvrđena. Nepoznato je i ko stoji iza napada. Kaba navodi da upotreba Eburyja i široko prikupljanje nešifriranih podataka upućuju na finansijski motiviranu kriminalnu grupu, uz napomenu da je i to samo pretpostavka. Neriješeno je i zašto je server Switzerland2 prihvatio RSA ključ za koji nema dokaza da je bio ovlašten.

Glavna lekcija iz incidenta jeste značaj višeslojne odbrane u sprječavanju krađe podataka kod ovakvih masovnih napada. Među takve mjere spada podešavanje e-mail naloga tako da prihvataju isključivo šifrirani saobraćaj i odbijaju nešifrirane portove, kao i onemogućavanje autentifikacije lozinkom u korist SSH ključeva.