Неизвестные хакеры получили контроль более чем над 300 выходными узлами сети Tor. Они изменили их настройки, чтобы ограничить передачу зашифрованной электронной почты и перенаправлять соединения SSH через подконтрольные серверы.
Атака началась в конце августа. Как сообщили добровольцы Tor, злоумышленники воспользовались действующим паролем, который повторно применялся для доступа к серверу управления сетью. После этого на сервер установили Ebury — вредоносную программу для Linux, обнаруженную специалистами 12 лет назад.
Затем хакеры подключились по протоколу SSH к другому серверу Tor под названием Switzerland2. Для этого применили ключ RSA, который по неизвестной причине не нашли среди разрешённых ключей этого сервера. Получив права администратора, злоумышленники установили Ebury и на Switzerland2, а затем изменили конфигурацию двух размещённых на нём выходных узлов.
Всего в кампании по перехвату SSH-соединений и электронной почты оказались задействованы 333 ретранслятора. Как именно атакующие получили доступ ко всем связанным серверам, следователи пока не установили. Часть узлов перенаправляла проходящий через Tor трафик SSH на один из 12 серверов-перехватчиков, после чего пользователи, проигнорировавшие предупреждение о смене ключа, могли ввести там свои пароли.
Другие изменения блокировали порты 25, 465, 587, 993 и 995, которые используются для разных вариантов защищённой электронной почты. При этом порты для получения незашифрованных сообщений продолжали работать, что создавало условия для снижения уровня защиты соединения и перехвата писем. Атака на выходные узлы продолжалась с 2 по 5 октября, однако неизвестно, удалось ли злоумышленникам успешно провести такое понижение защиты.
Новые подробности привёл во вторник исследователь Kaba в отчёте, опубликованном на его сайте: он уточнил число затронутых узлов и описал перенаправление SSH-трафика. По его словам, обычный веб-трафик через заражённые узлы продолжал передаваться без заметных изменений, но попытка подключиться по SSH через порт 22 могла привести пользователя на один из серверов-перехватчиков.