333 Tor Çıkış Düğümü SSH Trafiğini Ele Alıp Metin Formatında E-postaları Çalmak İçin Ele Geçirildi.

Bilinmeyen hackerlar, 300’den fazla Tor çıkış düğümünü ele geçirdi ve şifreli olmayan e-posta trafiğini önceliklendirecek şekilde yapılandırdı, SSH bağlantılarını ise kendi kontrol ettikleri sunucular üzerinden yönlendirdi; bir araştırmacı Salı günü bunu bildirdi.

Ele geçirme, Ağustos sonlarında başladı; Tor gönüllülerine göre saldırgan, erişim kazanmak için yeniden kullanılmış geçerli bir parola kullandı ve bir Tor yönetim sunucusuna ulaştı. Ardından, 12 yıl önce keşfedilen ve Linux için yazılmış bir arka kapı olan Ebury’yi kurdu.

Gizemler devam ediyor

Ardından saldırgan, yönetim sunucusundan SSH üzerinden İsviçre2 olarak adlandırılan ikinci bir Tor sunucusuna bağlandı ve İsviçre2’nin yetkili anahtarları arasında, bilinmeyen bir nedenle araştırmacıların bulamadığı bir RSA anahtarı kullandı. İsviçre2 üzerinde yönetici kontrolü sağlayan saldırganlar, Ebury’yi burada da kurdu. Son olarak, İsviçre2’in barındırdığı iki çıkış düğümünün yapılandırmasını değiştirdi.

Sonuç olarak, SSH ve e-posta dinleme kampanyasında 333 çıkış aktarıcısı yer aldı; ancak araştırmacılar, saldırganların tüm alt sunucuların kontrolünü nasıl ele geçirdiği henüz belirlenemedi. S dangırganlar ardından sunucuları yapılandırdı. Bir grup değişiklik, Tor üzerinden geçen SSH trafiğini saldırgan kontrolündeki 12 yakalama sunucusundan birine yönlendirdi. SSH anahtarının değiştiğine dair uyarıları görmezden gelen Tor kullanıcıları, SSH parollarını girecekti.

İkinci grup değişiklik ise çıkış düğümlerinin şifreli e-postanın çeşitli biçimlerini almaya kullanılan 25, 465, 587, 993 ve 995 numaralı portları engellemesine, ancak şifreli olmayan e-posta almaya kullanılan portlara devam etmesine neden oldu. E-posta hizmetleri bağlantıları düşürürse, saldırganlar şifreli olmayan mesajları elde etmek için çıkış düğümlerine erişimlerini kullandı. Böyle bir düşürme girişiminin başarılı olup olmadığı belirsiz. Ele grabirme 2 Ekim ile 5 Ekim arasında gerçekleşti.

Tor gönüllüleri, yönetim sunucusunun ve İsviçre2’nin ilk zafiyete uğramasını ve şifreli olmayan e-postayı dinleme girişimini kısmen ortaya koydu. Salı günü yapılan rapor, kaç çıkış düğümünün zafiyete uğratıldığı ve saldırganların SSH trafiğini yönlendirmek için bunları nasıl kullandığı gibi birçok yeni ayrıntıyı ortaya çıkardı.

“Eğer o 333 enfekte çıkış düğümünden biri üzerinden çıkan bir devriye (circuit) edinirseniz, başta hiçbir şey fark etmezsiniz,” yazının yazarı olan Tor gönüllüsünün Kaba ismiyle yazdığı gibi. “Şifreli web trafiği usual olduğu gibi iletilir, ancak Port 22 üzerinden bir SSH bağlantısı denerseniz, habersizce saldırganın 12 SSH yakalama sunucusundan birine yönlendirilirsiniz. Bana da Cuma sabahi tam olarak böyle oldu.” Kaba ardından aşağıdaki uyarıyı aldı:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ED25519 key sent by the remote host is
SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E.
Please contact your system administrator.

Gönüllü araştırmaya devam etti ve insanların uyarıyı görmezden geldiğinde saldırganın (1) SSH parolasını çaldığını, (2) sunucuya bir bağlantı açıp yazılan tüm komutları gözlemlediğini ve (3) ikinci bir bağlantı açıp sunucuyu Ebury ile enfekte ettiğini buldu.

Kampanyayı araştırmak için Kaba, Tor’un yaklaşık 3.000 çıkış düğümünün tamamını, test sunucusundan doğru SSH parmak izini alıp almadıklarını kontrol edecek şekilde sorgulayan bir betik oluşturdu. Test sunucusu ardından bağlantının sabitlenmiş bir çıkış düğümünden mi yoksa saldırganın kullandığı 12 SSH yakalama sunucusundan biri mi geldiğini kontrol etti. Gönüllü, yakalama yazılımının giriş yapma ve Ebury kurma girişimini gözlemlemek için bir tuzak sunucusu (honeypot) daha kurdu.

Birçok gizm devam ediyor. Tor gönüllüleri, saldırganların bu kadar çok sunucuya nasıl eriştiğini hala bilmiyor. Olası nedenlerden biri, onları barındıran bir şirketin zafiyete uğraması olabilir, ancak bu teori kesinlik taşımıyor. Açık bir başka soru da saldırının ardında kimin olduğu. “Ebury’nin kullanımı ve şifreli olmayan verilerin geniş ölçüde toplanması, finansal kazanç hedefleyen bir suç örgütüne işaret ediyor,” Kaba yazdı. “Ancak bu da sadece bir tahmin.”

Son çözülemeyen bulgu: İsviçre2, yetkili bir SSH sertifikası olduğu kanıtlanmayan bir RSA anahtarını neden kabul etti?

Olaydan çıkarılacak ders, derinlemesine savunmanın (defense in depth) bu tür kitlevi ihlallerde veri hırsızlığını önlemedeki kritik rolüdür. Bu önlemlere, hesapların yalnızca şifreli trafiği kabul edecek ve şifresiz portları reddedecek şekilde yapılandırılması dahildir. Başka bir önlem ise kimlik doğrulamayı SSH anahtarları lehine devre dışı bırakmaktır.