333 вихідні вузли Tor перенаправляли SSH і намагалися здобути листи без шифру — звіт
Невідомі зловмисники скомпрометували 333 вихідні вузли Tor, переналаштувавши їх для перехоплення SSH і спроб здобути незашифровану пошту. Кампанія тривала 2–5 жовтня, а початок зламу простежується з кінця серпня.
Дослідник повідомив, що невідомі хакери захопили 333 вихідні вузли Tor і переналаштували їх для перенаправлення SSH-з’єднань та спроб отримання електронної пошти у відкритому вигляді. Інцидент стався з 2 до 5 жовтня, а перші кроки зловмисників простежуються з кінця серпня.
Як відбувся злам
За даними волонтерів Tor, нападники скористалися дійсним, але повторно використаним паролем, щоб увійти на сервер управління Tor. На ньому вони встановили Ebury — бекдор для Linux, відомий уже 12 років.
Далі з цього сервера через SSH зловмисники під’єдналися до іншого вузла Tor під назвою Switzerland2, використавши RSA‑ключ, який, за словами розслідувачів, не вдалося знайти серед дозволених ключів цього сервера. Отримавши адміндоступ, вони також розгорнули Ebury і змінили налаштування двох вихідних вузлів, розміщених на Switzerland2.
Перенаправлення SSH і ризик для паролів
Загалом у кампанії фігурує 333 вихідні вузли, хоча наразі невідомо, як нападники отримали контроль над усіма відповідними серверами. Частина змін спрямовувала SSH‑трафік (порт 22), що проходив через Tor, на одну з 12 контрольованих ними серверів‑перехоплювачів.
Користувачі, які проігнорували попередження про зміну ключа хоста під час SSH‑підключення, могли несвідомо ввести свої паролі. Волонтер Tor під псевдонімом Kaba описав саме такий сценарій під час власної спроби підключення.
Спроби доступу до листів без шифру
Інша частина змін блокувала порти 25, 465, 587, 993 і 995, які використовуються для приймання різних форм зашифрованої електронної пошти, водночас залишаючи відкритими порти для нешифрованих з’єднань. Якщо поштовий сервіс «знижував» рівень захисту, зловмисники могли читати повідомлення у відкритому вигляді.
Наразі невідомо, чи вдалися будь‑які спроби такої деградації шифрування. Раніше волонтери Tor частково описували початковий злам сервера управління та спроби перехоплювати електронну пошту без шифру. Новий звіт уточнює масштаб інциденту, зокрема кількість скомпрометованих вихідних вузлів, і пояснює механізм перенаправлення SSH‑трафіку.
