Перехват трафика Tor: 333 выхода захвачены хакерами
Злоумышленники перенастроили узлы Tor для перехвата SSH-трафика и электронной почты в открытом виде
Всё, что известно о событии, восходит к одному сообщению: либо публикация одна, либо остальные повторяют её или ссылаются на тот же источник.
Что произошло
Неизвестные хакеры захватили более 300 выходных узлов сети Tor, перенастроив их для перехвата незашифрованного трафика электронной почты и перенаправления соединений SSH через контролируемые ими серверы. Это стало известно во вторник от исследователя, который рассказал о том, как началась данная атака в конце августа.
Атака осуществлялась с использованием действительного пароля, который был повторно использован для доступа к серверу управления Tor. Злоумышленники установили backdoor под названием Ebury на несколько серверов, затем перепрограммировали настройки, чтобы блокировать зашифрованные порты для электронной почты, при этом допускающе незашифрованные соединения.
Что известно
· средняя близость к цитате 100%- ●333 узла выхода в сети Tor были захвачены для перехвата трафика SSH и электронной почты.Ars Technica
- ●Атака началась в конце августа, когда злоумышленник использовал действительный пароль для доступа к серверу управления Tor.Ars Technica
- ●Злоумышленники установили backdoor Ebury на управляющем сервере и сервере Switzerland2.Ars Technica
- ●Хакеры перенастроили узлы выхода, чтобы блокировать зашифрованный трафик электронной почты, что позволяло им перехватывать незашифрованные сообщения.Ars Technica
- ●Перехват происходил в период с 2 по 5 октября.Ars Technica
- ●Злоумышленники использовали 12 серверов для перехвата SSH-трафика.Ars Technica
- ●Юзеры, игнорировавшие предупреждения о том, что хост-ключ SSH изменился, могли ввести свои пароли.Ars Technica
- ●По мнению исследователей, злоумышленники использовали Ebury для доступа к серверу и перенастройки узлов.Ars Technica
- ●Было замечено, что измененная конфигурация не вызывает задержек в работе зашифрованного веб-трафика, но SSH-подключения перенаправляются на мошеннические серверы.Ars Technica
- ●По состоянию на момент атаки остается неясным, как злоумышленники получили контроль над всеми серверами.Ars Technica
Что не подтверждено
- ?Как злоумышленники получили доступ к действительному паролю?
- ?Как долго продолжалась конфигурация серверов после атаки?
- ?Почему исследователи не смогли найти RSA ключ среди авторизованных ключей на сервере Switzerland2?
Что процитировано
Событие собрано по одной публикации, поэтому последовательности здесь нет — только то, что из неё процитировано.
333 узла выхода в сети Tor были захвачены для перехвата трафика SSH и электронной почты.
“Ultimately, 333 exit relays were involved in the SSH and email interception campaign.”перевод с en
Атака началась в конце августа, когда злоумышленник использовал действительный пароль для доступа к серверу управления Tor.
“The hijacking began in late August, when according to Tor volunteers, the attacker used a valid password that had been reused to gain access to a Tor management server.”перевод с en
Злоумышленники установили backdoor Ebury на управляющем сервере и сервере Switzerland2.
“Then the attacker connected from the management server to a second Tor server, called Switzerland2, through SSH, using an RSA key that, for unknown reasons, investigators couldn’t find among Switzerland2’s authorized keys.”перевод с en
Хакеры перенастроили узлы выхода, чтобы блокировать зашифрованный трафик электронной почты, что позволяло им перехватывать незашифрованные сообщения.
“...caused the exit nodes to block ports 25, 465, 587, 993 and 995—used to accept various forms of encrypted email—while continuing to allow ports for receiving unencrypted email.”перевод с en
Перехват происходил в период с 2 по 5 октября.
“The hijacking occurred from October 2 to October 5.”перевод с en
Злоумышленники использовали 12 серверов для перехвата SSH-трафика.
“...unknowingly redirected to one of 12 SSH interception servers.”перевод с en
Юзеры, игнорировавшие предупреждения о том, что хост-ключ SSH изменился, могли ввести свои пароли.
“Tor users who ignored warnings that the SSH host key had changed would then enter their SSH passwords.”перевод с en
По мнению исследователей, злоумышленники использовали Ebury для доступа к серверу и перенастройки узлов.
“...install Ebury there as well. Finally, the attacker reconfigured settings on two exit nodes that Switzerland2 hosted.”перевод с en
Было замечено, что измененная конфигурация не вызывает задержек в работе зашифрованного веб-трафика, но SSH-подключения перенаправляются на мошеннические серверы.
“If you happen to get a circuit that exits over one of those 333 infected exit nodes, you won’t notice anything at first...”перевод с en
По состоянию на момент атаки остается неясным, как злоумышленники получили контроль над всеми серверами.
“although investigators haven’t established how the attackers gained control of all the underlying servers.”перевод с en
Собрано и структурировано ИИ: связано: 1 публикация · процитировано: 1 публикация · сгруппировано: 1 домен СМИ. Ручной редактуры и модерации нет — возможны неточности.
Наверх ↑