333 węzły wyjściowe Tor przejęte, ruch SSH kierowany do serwerów atakujących

Nieznani sprawcy przejęli 333 węzły wyjściowe sieci Tor i od 2 do 5 października przekierowywali przez nie połączenia SSH oraz blokowali szyfrowaną pocztę. Nowe szczegóły podał we wtorek raport badacza. Według wolontariuszy Tor atak zaczął się pod koniec sierpnia od ważnego hasła do serwera zarządzającego Tor, użytego wcześniej w innym miejscu. Sprawcy zainstalowali tam Ebury, backdoor dla Linuksa odkryty 12 lat temu. Potem połączyli się przez SSH z serwerem Switzerland2 kluczem RSA, którego nie znaleziono na liście autoryzowanych kluczy. Badacze nie ustalili, jak sprawcy przejęli wszystkie serwery.

Kogo dotyczy

Dotyczy użytkowników Tor, którzy łączyli się przez SSH albo obsługiwali pocztę. Ruch SSH trafiał do jednego z 12 serwerów przechwytujących. Hasła SSH podawali ci, którzy zignorowali ostrzeżenie o zmianie klucza hosta. Węzły blokowały porty 25, 465, 587, 993 i 995, używane przez szyfrowaną pocztę, a porty poczty nieszyfrowanej zostawiały otwarte.