Хакеры захватили сотни серверов браузера Tor ради кражи паролей
Исследователь по кибербезопасности под ником Kaba обнаружил масштабную кибератаку на ИТ-инфраструктуру Tor: злоумышленники скомпрометировали сотни серверов, на которых работали выходные узлы сети, и использовали их для перехвата SSH-соединений. Атакующие перенаправляли трафик на подконтрольные им серверы, где могли похищать пароли, отслеживать сессии и пытаться заразить целевые ИТ-системы вредоносными программами Ebury.
«Хакеры захватили более 300 выходных узлов Tor ради перехвата SSH-соединений», — пишет Ars Technica.
ИБ-специалист обнаружил аномалию: при подключении к собственному серверу через Tor система OpenSSH предупредила о смене host key. После этого он просканировал примерно 3 тыс. выходных узлов и зафиксировал 333 узла, которые перенаправляли SSH-соединения на одни и те же 12 серверов-перехватчиков. На взломанных хостах злоумышленники модифицировали конфигурацию torrc и открывали порт 22. Параллельно на ряде узлов отключались защищенные порты IMAPS и POP3S, а вместо них активировались незашифрованные POP3 и IMAP. По оценке исследователя, помимо SSH-учетных данных атакующих интересовал и открытый почтовый трафик.
Механизм перехвата был ориентирован на аутентификацию по паролю. Сервер злоумышленников имитировал легитимный SSH-сервер и предъявлял собственный host key. Если пользователь игнорировал предупреждение о смене ключа либо подтверждал новый ключ при первом подключении и вводил пароль, данные оказывались у атакующих. Затем устанавливалось соединение с реальным сервером, поэтому сессия выглядела штатной, а хакеры получали возможность наблюдать за всеми вводимыми командами. При тестировании ханипота также зафиксированы попытки проверить наличие sudo и установить Ebury — бэкдор и инфостилер, маскирующийся внутри OpenSSH. Перехват входа по SSH-ключу таким способом был невозможен.
Дополнительное исследование публичных данных Tor показало, что подозрительную exit policy получили 377 узлов, связанных с 59 операторами. На пике эти узлы обеспечивали около 7,46% всей выходной пропускной способности сети. Автор анализа подчеркивает, что совпадение конфигураций само по себе не является доказательством ИТ-компрометации Tor. Команда Tor Network Health сообщила о получении от нескольких операторов уведомлений о взломе серверов. Злоумышленники получали доступ к Linux-хостам, изменяли конфигурацию Tor и в ряде случаев переводили обычные узлы в статус выходных для перехвата SSH-соединений.
Один из пострадавших операторов описал ИТ-компрометацию семейства узлов Quetzalcoatl. Атакующие вошли по паролю на управляющий сервер в Contabo, за пять минут получили root-привилегии и установили бэкдор Ebury версии 1.8.3. Затем через этот сервер проникли на VPS Switzerland2 во FranTech, где работали два выходных узла, и развернули Ebury уже там. Конфигурацию этих узлов изменили. Атакующие переписали torrc, после чего узлы начали применять новую exit policy. Оператор признал, что причиной первоначального проникновения стала слабая защита — один и тот же пароль использовался для SSH, sudo и шифрования резервных копий и хранился в открытом виде на обоих серверах. Остается неизвестным, применялся ли аналогичный метод для взлома остальных узлов. Значительная часть пострадавших узлов размещалась у хостера FranTech/BuyVM, поэтому не исключена компрометация ИТ-инфраструктуры провайдера.
Специалисты Tor Project начали помечать проблемные узлы флагами BadExit и MiddleOnly, чтобы клиенты перестали использовать их для выхода из сети. Все узлы с вредоносной конфигурацией исчезли из актуального Tor Consensus — подписанного перечня доступных узлов, которым клиенты пользуются при построении маршрутов.
Пользователям, которые подключались по SSH через Tor, приняли незнакомый или изменившийся host key и вводили пароль, рекомендуется считать учетные данные скомпрометированными, сменить их и проверить серверы на наличие инфостилера Ebury.
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
