300’den Fazla Tor Çıkış İleticiisi Ele Geçirilerek SSH Bağlantıları Dinlendi.

Görsel Kaynağı: The Hacker News

Saldırganlar, Ekim’in ilk haftasında 300’den fazla Tor çıkış aktarıcısını ele geçirip SSH bağlantılarını, giriş parolalarını çalan sunuculara yönlendirdi; konuyu araştıran bir araştırmacı bu durumu ortaya çıkardı.

Çıkış aktarıcıları, Tor devresindeki son adımdır; trafiğin ağdan çıkıp hedefe ulaştığı noktadır. Sadece 1-5 Ekim arasında, yönlendirmeye çalışan sunucunun anahtarını kabul ettikten sonra Tor üzerinden bir SSH sunucusuna yapılan parola girişinin yaklanmış olması muhtemeldir.

Tor Projesi, Ekim 4’te aktarıcıları işaretlemeye başladı ve Ekim 5’e gelindiğinde, Tor istemcilerinin kullandığı aktarıcı listesi olan konsensüste artık hiçbirinin kalmadığı belirtildi. Ekim 4’teki zirve noktasında, saldırganın çıkış politikasını taşıyan aktarıcılar, Tor’un çıkış kapasitesinin konsensüs ağırlığı ile ölçüldüğünde %7,46’sını oluşturuyordu; bu bulgu, tor-relays posta listesine paylaşılan halka açık Tor dizin verilerinin analizine dayanıyor.

kaba takma adıyla yayın yapan araştırmacı, Ekim 2’de Tor’un yaklaşık 3.000 çıkışını taramış ve 333’ünün SSH’yi aynı 12 yönlendirme sunucusuna yönlendirdiğini tespit etmiş. Dizin verilerinin analizi, Ekim 1 ile 4 arasında saldırganın çıkış politikasına geçen 59 operatörün yönettiği 377 aktarıcı sayıyor; bu durum, “bir politika eşleşmesi, zayıflamanın kanıtı değil” olarak nitelendiriliyor.

Ele Geçirilen Çıkışlar SSH’yi Nasıl Yönlendirdi

Bir çıkış aktarıcısı, yalnızca çıkış politikasının izin verdiği portlara trafiği taşır. Saldırganlar, aktarıcıların torrc yapılandırma dosyalarındaki bu politikayı değiştirip 22 portunu (SSH portu) izin verir hale getirmiş; böylece SSH’yi engellediği 342 aktarıcıda aktif olmuş. SSH’yi engellediği için çıkış olmayan 24 aktarıcı ise çıkış haline gelmiş.

“Saldırganın tabanı Linux olan sunuculara erişmeye çalıştığı ve bu makineler çıkış olarak çalışmadığında torrc dosyasını düzenleyip SSH saldırısını gerçekleştirebilmek için onları çıkış haline getirdiği görülüyor”; Tor Projesi’nin ağ sağlığı ekibi, Ekim 5’te aktarıcı operatörlerine yönelik bildirinde bunu belirtti. Dizin verileri, etkilenen aktarıcıların çoğunun zaten çıkış olduğunu gösteriyor.

Aynı değişiklik, şifreli posta portları olan IMAPS ve POP3S’i kapatırken, çoğu aktarıcıda şifresiz kullanıma açık olanları, POP3 ve IMAP’ı açmış.

Bir Tor istemcisi yalnızca hedef porta izin veren bir çıkış seçtiği için bu aktarıcılar şifreli posta taşımayı bıraktı ve SSH, Telnet ve çoğunda düz metin posta taşımaya başladı. Şifreli posta portlarının neden kapatıldığı veriye yansımıyor; analiz böyle belirtiyor.

Port 22 açıkken, bu çıkışlardan biri üzerinden kurulan bir SSH bağlantısı yerine gittiği 12 yakalama sunucusundan birine yöneldi; kaba böyle tespit etti. Bir sunucu bağlantıyı yakaladığında kendi anahtarını sundu. Gerçek sunucunun anahtarını önceden bilen bir kullanıcı, uzak sunucu kimliğinin değiştiğine dair OpenSSH uyarısını gördü; ilk kez bağlanan bir kullanıcıysa yeni bir anahtarı kabul etmeye yönlendiren usual uyarıyı gördü.

Ekim ayındaki taramada, yaklaşık bir düzine çıkış sahte sunucu anahtarını sunuyordu; geri kalan 300 kadarıysa anahtarı değiştirmeden aynı sunucular üzerinden yönlendiriliyordu.

Anahtarı kabul edip şifresini giren bir kullanıcının şifresini yakalayıcı aldı. Yakalayıcı gerçek sunucuya bağlandığı için oturum çalıştı ve her komut izlenebilir; çalınan şifreyle ayrıca giriş yapılarak sudo denetimi ve base64 ile kodlanmış bir Perl kurucusu çalıştırılabilirdi. kaba’ın tuzak sunucusunda kurucu, aşağıda anlatıldığı gibi, Ebury’yi—OpenSSH’ın içine gizlenen bir arka kapıyı—aktarıcı işletmecisinin sunucularından birine kuran komutla aynı biçimi aldı.

Anahtar tabanlı bir SSH girişi böylece aktarılamazdı. SSH kimlik doğrulama protokolü altında, istemcinin imzası her oturum için benzersiz bir tanımlayıcı içerdiği için yakalayıcının oturumu için yapılan bir imza gerçek sunucuda işe yaramaz. Yakalayıcı yine de bir anahtar girişini kendisi kabul edip sahte bir kabuk gösterebilirdi, ama onunla gerçek sunucuya ulaşamazdı.

Gorsel Kaynagi: The Hacker News

Şifreyse tam tersine, şifreli oturumun içinde yol alır ve diğer uçtaki sunucunun—burada yakalayıcının—okuyabileceği bir veridir.

Kimler Maruz Kaldı ve Maruz Kaldıysanız Ne Yapmalısınız

Bu saldırının ortaya çıkması için birinin 1 Ekim ile 5 Ekim öğleden sonrası arasında Tor üzerinden bir SSH sunucusuna bağlanması, bu hijacker çıkışlardan birine düşmesi, bağlantının aktarılması yerine engellenmesi, engelleyicinin anahtarını kabul etmesi ve parola ile giriş yapması gerekiyordu. Mağdur sayısı bilinmiyor.

Bu süre içinde Tor üzerinden tanımadığınız veya değiştirilmiş bir anahtarı kabul ettiyseniz, girdiğiniz parolanın çalındığını varsayın, değiştirin ve o sunucuda aşağıda listelenen Ebury izlerini kontrol edin. Anahtarı kabul eden bir OpenSSH istemcisi, onu known_hosts dosyasına kaydederdi.

kaba’nın bağlantısını engelleyen sunucu, parmak izi SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E olan bir ED25519 anahtarı kullandı; ancak diğer engelleyici sunucular farklı anahtarlar kullanmış olabilir.

Nasıl Bulundu ve Durduruldu

kaba, saldırıyla 2 Ekim sabahi, Tor üzerinden bir SSH bağlantısı değiştirilmiş-anahtar uyarısı döndürdüğünde karşılaştı. Ardından, Tor Projesi’nin ağ sağlığı ekibinin de kullandığı bir tarama aracı olan exitmap’i kullanarak sunucularından birinden diğerine, sırayla her çıkış üzerinden bir SSH bağlantısı açtı.

Bu bağlantının bir ucu anahtarın doğru olup olmadığını, diğer ucu ise bağlantının çıkıştan mı yoksa bir engelleyici sunucudan mı geldiğini kontrol etti. Sonuçları o akşam sağlık ekibine bildirdi.

Sağlık ekibi, değişikliği kendi izleme sistemleri aracılığıyla da fark etti. 4 Ekim’de Quetzalcoatl çıkış ailesini yöneten Zimmer ile iletişime geçti; bu, etkilenen çıkışların en büyük grubuydu. Zimmer değişikliğin kendisine ait olmadığını onayladı, çıkışların kötü olarak işaretlenmesini istedi ve onları çalıştıran sunucuda Tor’u kapattı.

Dizin otoriteleri, o gün saat 18:00 UTC’de etkilenen çıkışlarda BadExit ve MiddleOnly bayraklarını oylamaya başladı ve bayraklar saat 21:00’da konsensüse girdi. BadExit, Tor istemcilerine bir çıkışı asla çıkış olarak kullanmamalarını söyler.

5 Ekim sabahı, Quetzalcoatl’a ait 55 sunucuda betiklenmiş bir yeniden başlatma işlemi gerçekleşti ve politika hâlâ yürürlükteydi. Kimin çalıştırdığı bilinmiyor. Yönetici otoriteler o sıralarda etkilenen aktarıcıları ağdan reddediyordu; Tor Projesi bildiriminde bunu belirtti ve Zimmer’ın durdurduğu iki aktarıcının yeniden katılmaya çalışıldığında reddedildiğini yazdı.

5 Ekim 17:00 UTC itibarıyla, saldırı polisini taşıyan hiçbir aktarıcı uzlaşıda yer almıyordu ve 9 Ekim itibarıyla geri dönen olmadı; yönlendirme verisi analizi bunu buldu. O sırada 41 aktarıcı, içinden dokuzu Quetzalcoatl’a ait olmak üzere politikayı yayımlamaya devam ediyordu ancak listelenmemişti.

Tor Metrics’in, Exit bayrağı taşıyan aktarıcıların sayısı 3 ve 5 Ekim arasında yaklaşık 370 azaldı; bu da etkilenen aktarıcı sayısıyla uyumluydu ve 18 Ekim’e kadar toparlanamadı.

Ebury ve Saldırganların İçeriye Girişi

Zimmer, 7 Ekim’de liste üzerindeki bir son analiz yazısında kendi tarafını anlattı. İki sunucusu Ebury 1.8.3 sürümünü çalıştırıyordu: ailenin VPN ağ geçidi ve SSH jump host’u olarak hizmet veren ve Contabo’da bir yönetim sunucusu ile iki aktarıcıyı çalıştıran FranTech VPS’in adı Switzerland2.

Ebury, OpenSSH için 2009’dan beri aktif olan bir arka kapı ve kimlik bilgisi hırsızlığı yazılımıdır; ESET 2024’te 400.000 sunucuyu bulaştırdığını tahmin etti, son 2023’te 100.000’den fazlasının hâlâ bulaşık olduğu belirtildi.

Saldırgan, 28 Ağustos’ta yönetim sunucusuna ilk denemede operatör hesabının parolasıyla giriş yaptı, beş dakika içinde kök erişimi kazandı, Ebury’yi kurdu, ardından bir saatten biraz fazla süre sonra Switzerland2’ye ulaştı ve oraya da kurdu.

“Kök neden bizim tarafımızdı: SSH girişi, sudo ve yedek parola için tekrarlanan bir parola, her iki sunucuda da düz metin olarak saklandı; ayrıca internete açık yönetim sunucusunda SSH parola doğrulamasının açık bırakılması,” Zimmer yazdı. Saldırganın bu parolayı nereden edindiği bilinmiyor.

Ebury’nin arka kapı oturum açmaları kayıtsız kalır. 2 Ekim’de çıkışların yapılandırma dosyaları, loglarda oturum açma, sudo komutu veya cron görevi olmadan yeniden yazıldı ve iki aktarım, saldırganın politikasını 09:34 UTC’de yayımladı. İki aktarım üzerinde yaklaşık 52 saat canlı kaldı ve günde yaklaşık 3,4 TiB veri aktardı.

4 Ekim’de yapılan rutin bir yeniden başlatma, saldırganın gizli araçlarını devre dışı bıraktı, ancak Ebury hemen geri geldi.

Ailenin “çevrimdışı” anahtarları “çevrimdışı değildi: kopyalar yönetim sunucusundaki iş istasyonu yedeğinde, saldırganın zaten bildiği şifre ile şifrelenmişti”, Zimmer yazdı. Aileden tüm aktarımları ve köprüyü emekliye ayırdı ve her iki sunucuyu da sildi.

Bu Ebury, tek bir setuid kütüphane dosyası olan /usr/lib/x86_64-linux-gnu/libkeyutils.so.1.10.2 ve bu dosyaya işaret eden libkeyutils.so.1 simgesel bağlantısıyla oluşuyor. Paketli kütüphane dokunulmadan kaldığı için dpkg -V ve debsums onu yakalamaz ve sshd, sudo ile PAM paket kontrollerini geçirir. 1.8.3 sürümü, 1.8.2’de duran ESET’in halka açık göstergelerinden daha yenidir ve 21 Ekim’de okunan ESET’in yayımladığı tespit scripti için herhangi bir soket ismi listelemez.

ESET’in 2014 Ebury makalesini ortak yazan Marc-Etienne M. Léveillé, 2024 raporunu yazdı ve şirketten ayrıldı; 1.8.3 sürümünün en az 2026 Haziran’dan beri mevcut olduğunu belirterek bunu kapsayan güncellenmiş bir script kopyası paylaştı. “2009 ile 2023 arasında 400 000 sunucuda Ebury bulunduğunu düşünürsek, muhtemelen ihlal edilmiş başka Tor aktarımları da orada,” yazdı.

D diğer 58 operatörün makinelerinin nasıl ele geçirildiği, başlıca açık sorudur. 1 Ekim’de listelenen aktarımlarından, directory-data analizi, FranTech Solutions (BuyVM barındırma markasının ardındaki ağ) üzerinde barındırılan 101 aktarımdan 71’inin saldırganın politikasına geçtiğini, buna karşılık başka yerlerde barındırılan 9.054 aktarımdan yalnızca 13’ünün aynı yolu izlediğini buldu.

21 operatörün 40 aktarımı, 1 Ekim’de beş buçuk dakika içinde değişti; çoğu bir yapılandırma yeniden yüklemesiyle, analizin tüm 40’ına zaten erişimi olan tek bir aktör olarak okuduğu bir yöntemle.

Léveillé’nin şifre için en iyi tahmini, Ebury çalıştıran bir ana bilgisayardan alınan bir girişti; başka bir olası senaryo ise zayıflatılmış bir hosting sağlayıcısıydı. ESET’in, yönetim sunucuları Ebury çalıştıran ve müşterilerin sanal sunucuları enfekte olan sağlayıcılar gördüğünü yazdı.

Kaba, FranTech/BuyVM’deki zayıflatılmış sunucuların 27’sinin 26’sını Quetzalcoatl ailesine ait olmayan olarak saydı ve listede şunu sordu: “Bu sunucuları sağlayıcı seviyesinde zayıflatmış olabilirler mi?”

Quetzalcoatl’ın kendi zayıflatılması, Contabo yönetim sunucusu üzerinden gerçekleşti ve etkilenen 273 aktarıcının 225’i başka ağlarda yer alıyordu.

Kampanyanın arkasında kimin olduğu bilinmediği gibi, etkilenen sunucuların kaçının Ebury çalıştırdığı da bilinmiyor: Zimmer kendi sunucularından ikisini inceledi ve dizin verileri yalnızca politikayı gösteriyor. Diğer operatörlerin Tor Projeye bildirdiği belirtiler arasında sahte büyük harfli CRON daemon’u ve 22. portu yönlendiren NAT kuralları vardı. Zimmer’in sunucularında bunlardan hiçbiri yoktu ve vakaların bir aktöre ait olup olmadığı ise açık.

Zimmer’in aktarıcılarında, port değişiklikleri nedeniyle posta alma yalnızca düz metin üzerinden gerçekleşebilirdi, yazdı ve pencerenin çoğunda Switzerland2 üzerinde snf adlı gizli bir süreç çalışıyordu. Ne yaptığı bilinmiyor.

Aktarıcı Operatörlerinin Kontrol Etmesi Gerekenler

Tor Projenin uyarısı, Linux aktarıcı operatörlerini Relay Search üzerinde ayarlamadıkları bir Exit bayrağı veya çıkış politikası için kontrol etmeye ve torrc ile dahil edilen dosyalarda değişmiş ExitRelay, ExitPolicy, ContactInfo, MyFamily veya Nickname satırlarını gözden geçirmeye çağırıyor.

Aynı uyarı, 22. portdaki NAT kuralları, bilinmeyen dinleme süreçleri veya çıkış bağlantıları, yeni kullanıcılar, authorized_keys kayıtları, cron işleri ve systemd birimleri ve paket kontrolünü geçirmeyen bir tor ikili dosyası da listeliyor. Zimmer’in sunucularında bu listedeki sunucu seviyesi belirtilerinden hiçbiri görünmüyordu, yalnızca değişmiş çıkış politikası vardı; bu nedenle temiz bir sunucu kontrolü bu Ebury’yi dışlamaz.

İmplantın belirtileri, Zimmer’in gönderisinden şunlardır:

• Dosya: /usr/lib/x86_64-linux-gnu/libkeyutils.so.1.10.2, setuid ve hiçbir paketin sahipliğinde değil (sunucularında 63.368 bayt, her sunucuda farklı bir hash değeri)
• Sembolik bağlantı: libkeyutils.so.1, söz konusu dosyaya işaret ediyor
• Soket: soyut UNIX soketi @event-0YsOG9WSOE
• Süreç: ssh.service cgroup’u içinde çalışan sahte /sbin/rsyslogd (önceden systemd-udevd veya arpd)
• IP: 185.225.226[.]62, 28 Ağustos girişinin kaynağı
• SSH anahtarı: RSA SHA256:dvACokMYcXJ2om4wuS+TvdtjrAgPK7rC7ZQHDgvBHzk, Switzerland2 sunucusuna giriş için kullanıldı
• İmplantın içinde gömülü SSH anahtarları: RSA SHA256:KlICz/B59619CpuQdGzgmmvzWBfTMUJ77EwihTYobuo ve ED25519 SHA256:OfLY0uF9SwOW9xVjiMXZGDfk6Atmz6CbHy4epknLm8Y
• İzleyici ana makine anahtarı: ED25519 SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E, kaba’nın bağlantısında görüldü

İmkanınız varsa kurtarma sisteminden veya çevrimdışı disk görüntüsünden kontrol edin. Canlı bir sunucuda, bir anahtarla giriş yapın. “Şüphe ettiğiniz bir sunucuya asla şifre yazmayın, çünkü Ebury onu yakalayacaktır,” diye yazdı Zimmer.

Léveillé’nin güncellenmiş betiğini veya Zimmer’in gönderisindeki komutları çalıştırmadan önce, userland rootkit’in önünden geçmek için H=1 I=1 LD_PRELOAD=”:” LD_DEBUG=”:” bash ile bir kabuk başlatın.

Eğer bulursanız, Tor Project’in adımları şunlardır:

1. aktörü çevrimdışı hale getirin
2. biçlendirmeden önce diski ve günlükleri koruyun
3. temizlemek yerine yeniden kurun
4. yeni bir aktör kimliği oluşturun ve eski anahtarları çalınmış olarak kabul edin
5. sunucuda bulunan her türlü kimlik bilgisini yenileyin

Yeniden kurmanın önemli olması, implantın Zimmer’in sunucusunda yeniden başlatmaya dayanmasıdır. bad-relays@lists.torproject.org adresine bildirin ve eğer IP adresiniz olay sırasında engellenmişse, aktörünüz temizlendikten sonra engelin kaldırılması için aynı adrese yazın, diye ekledi Tor Project’den Georg Koppen.

Kimlik Bilgisi Hırsızlığı