Bilinmeyen saldırganlar 300'den fazla Tor çıkış düğümünü ele geçirip yeniden yapılandırdı; düz metin e-posta trafiğini önceliklendirdi ve SSH bağlantılarını kendi kontrolündeki sunuculardan geçirdi. Araştırmacı Salı günü bildirdi.
Ele geçirme Ağustos sonlarında başladı. Tor gönüllülerine göre saldırgan, yeniden kullanılmış geçerli bir şifreyle bir Tor yönetim sunucusuna erişim sağladı. Ardından Linux için yazılmış, 12 yıl önce keşfedilen Ebury arka kapısı'nı kurdu.
Gizemler sürüyor
Saldırgan yönetim sunucusundan SSH ile Switzerland2 adlı ikinci Tor sunucusuna bağlandı. Araştırmacıların nedenini bilmediği bir RSA anahtarı kullandı; bu anahtar Switzerland2'nin yetkili anahtarları arasında bulunamadı. Switzerland2 üzerinde yönetici kontrolü sağlayan saldırganlar Ebury'yi oraya da kurdu. Son olarak Switzerland2'nin barındırdığı iki çıkış düğümünün ayarlarını değiştirdi.
Sonuçta SSH ve e-posta engelleme kampanyasında 333 Tor çıkış düğümü yer aldı; ancak araştırmacılar saldırganların altyapıdaki tüm sunuculara nasıl erişim sağladığını belirleyemedi. Saldırganlar sunucuları yeniden yapılandırdı. Yapılan değişikliklerden biri, Tor üzerinden geçen SSH trafiğini saldırganın kontrolündeki 12 engelleme sunucusundan birine yönlendirdi. SSH ana bilgisayar anahtarının değiştiği uyarısını görmezden gelen Tor kullanıcıları SSH şifrelerini girdiler.
İkinci bir değişiklik grubuyla çıkış düğümleri, çeşitli şifreli e-posta türlerini kabul eden 25, 465, 587, 993 ve 995 numaralı portları engelledi; düz metin e-posta alımına izin veren portları açık bıraktı. E-posta servisleri bağlantıları düşük seviyeye indirirse saldırganlar çıkış düğümlerine erişimlerini kullanarak şifrelenmemiş mesajları ele geçirdi. Bu tür bir düşürme girişiminin başarılı olup olmadığı net değil. Ele geçirme 2-5 Ekim arasında sürdü.
Tor gönüllüleri yönetim sunucusu ve Switzerland2'nin ilk ele geçirilmesi ile düz metin e-posta engelleme girişimini kısmen özetledi. Salı günkü rapor, kaç çıkış düğümünün tehlikeye girdiğini ve saldırganların SSH trafiğini nasıl yönlendirdiğini de içeren birçok yeni ayrıntıyı ortaya koydu.
"333 enfekte çıkış düğümünden birinden çıkan bir devreye denk gelirseniz ilk başta bir şey fark etmezsiniz" diye yazan Kaba, gönderiyi kaleme alan Tor gönüllüsünün kullandığı isim. "Şifreli web trafiği normal şekilde iletilir, ancak Port 22 üzerinden SSH bağlantısı denerseniz farkında olmadan 12 SSH engelleme sunucusundan birine yönlendirilirsiniz. Bu tam olarak Cuma sabahı benim başıma geldi." Kaba ardından şu uyarıyı aldı:
UYARI: UZAK ANA BİLGİSAYAR TANIMLAMASI DEĞİŞTİ!
BİRİSİNİN KÖTÜ BİR ŞEY YAPTIĞI OLASI!
Birisi şu anda sizi dinliyor olabilir (adamın ortasında saldırı)!
Ayrıca bir ana bilgisayar anahtarının yeni değiştirilmiş olması da mümkün.
Uzak ana bilgisayar tarafından gönderilen ED25519 anahtarı için parmak izi
SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E.
Sistem yöneticinizle iletişime geçin.
Gönüllü daha fazla inceledi ve uyarıyı görmezden gelen kişilerin saldırganın (1) SSH şifresini çaldığını, (2) sunucuya bağlantı açıp yazılan tüm komutları izlediğini ve (3) ikinci bir bağlantı açıp sunucuyu Ebury ile enfekte ettiğini tespit etti.
Kampanyayı araştırmak için Kaba, Tor'un yaklaşık 3.000 çıkış düğümünün tamamını tarayan bir komut dosyası oluşturdu; bu komut dosyası düğümlerin bir test sunucusundan doğru SSH parmak izini alıp almadığını kontrol etti. Test sunucusu daha sonra bağlantının sabitlenmiş bir çıkış düğümünden mi yoksa saldırganın kullandığı 12 SSH engelleme sunucusundan birinden mi geldiğini denetledi. Gönüllü ayrıca engelleme yazılımının giriş yapıp Ebury'yi kurma girişimlerini gözlemlemek için bir honeypot kurdu.
Birkaç gizem sürüyor. Tor gönüllüleri saldırganların bu kadar çok sunucuya nasıl eriştiğini hâlâ bilmiyor. Bir olasılık, sunucuları barındıran bir şirketin hacklenmesi; ancak bu teori kesin değil. Bir diğer açık soru saldırının arkasında kim olduğu. Kaba yazdı: "Ebury'nin kullanılması ve düz metin verilerin geniş çaplı toplanması finansal güdülü bir suç grubuna işaret ediyor. Bu da sadece bir varsayım."
Son kafa karıştırıcı bulgu: Switzerland2'nin yetkili bir SSH sertifikası olduğuna dair kanıt yokken neden bir RSA anahtarını kabul ettiği.
Olaydan çıkan ders, bu tür kitlesel saldırılarda veri hırsızlığını önlemede derinlemesine savunmanın kritik rolü. Bu önlemler arasında e-posta hesaplarını yalnızca şifreli trafiği kabul edecek ve düz metin portlarını reddedecek şekilde yapılandırmak var. Bir diğeri de şifre kimlik doğrulamasını devre dışı bırakıp SSH anahtarlarını tercih etmek.
