Autor: Root.cz s využitím Zoner AI

Útočníci kompromitovali více než tři stovky výstupních uzlů (exit node) sítě Tor a přesměrovávali přes ně SSH spojení na servery, které mohly zachytávat přihlašovací údaje. Podle zveřejněné zprávy šlo přibližně o desetinu z celkových asi tří tisíc okrajových uzlů sítě Tor. Výstupní uzly přenášejí provoz z Toru do běžného internetu. V tomto případě však napadené servery při spojení přes SSH na portu 22 posílala uživatele přes infrastrukturu útočníků.

Útok odhalil bezpečnostní výzkumník poté, co mu SSH klient při připojení zobrazil varování, že se změnil veřejný klíč serveru. Takové upozornění znamená, že předložený klíč neodpovídá tomu, který si klient uložil při předchozím spojení. Pokud uživatel varování ignoroval a přihlásil se heslem, útočníci mohli údaje zachytit a následně se pokusit připojit k původnímu serveru.

Zpráva uvádí, že útočníci se do linuxových serverů sítě Tor dostali už v srpnu a nainstalovali na ně backdoor Ebury. Kampaň byla výzkumníkem nahlášena 2. října a správci sítě Tor začali podezřelé servery od 4. října označovat příznakem BadExit, který jim brání fungovat jako výstupní uzly. Napadené servery byly podle zprávy vypnuty 5. října.

Vedle SSH se útočníci podle popisu zaměřili také na nešifrovaný e-mailový provoz. Zpráva neuvádí, kolik přihlašovacích údajů nebo zpráv mohli skutečně získat. Není známý ani způsob, jakým původně získali přístup k serverům. Narušení u poskytovatele hostingu je pouze jednou z možných teorií, nikoli potvrzeným vysvětlením.

Případ připomíná, že použití Toru samo o sobě neznamená, že je každé spojení bezpečné vůči škodlivému výstupnímu uzlu. U SSH je důležité varování o změně klíče neodkliknout bez ověření příčiny. Výzkumník doporučuje upřednostnit přihlašování pomocí SSH klíčů před hesly. Ani to ale nenahrazuje kontrolu identity serveru, ke kterému se uživatel připojuje.