Μαζική παραβίαση στο δίκτυο Tor: Πώς 333 κόμβοι εξόδου χρησιμοποιήθηκαν για υποκλοπή SSH και email

Σε κατάσταση συναγερμού τέθηκε η κοινότητα της κυβερνοασφάλειας έπειτα από την αποκάλυψη μίας εκτεταμένης επιχείρησης κατασκοπείας στο δίκτυο Tor. Άγνωστοι εισβολείς κατόρθωσαν να αποκτήσουν τον έλεγχο περισσότερων από 300 κόμβων εξόδου (exit nodes), αναδιαμορφώνοντας τη λειτουργία τους με σκοπό την υποκλοπή διαπιστευτηρίων SSH και την ανάγνωση μη κρυπτογραφημένων μηνυμάτων ηλεκτρονικού ταχυδρομείου.

Το περιστατικό, το οποίο εκτυλίχθηκε στις αρχές Οκτωβρίου, επηρέασε συνολικά 333 κόμβους του δικτύου ανωνυμίας. Σύμφωνα με τα ευρήματα των ερευνητών, οι επιτιθέμενοι εκμεταλλεύτηκαν την επανάληψη ενός έγκυρου κωδικού πρόσβασης για να παραβιάσουν αρχικά έναν κεντρικό διακομιστή διαχείρισης του Tor στα τέλη Αυγούστου. Στη συνέχεια, εγκατέστησαν το Ebury, ένα διαβόητο backdoor για συστήματα Linux που πρωτοεμφανίστηκε πριν από 12 χρόνια, αποκτώντας βαθιά πρόσβαση στις υποδομές.

Ο μηχανισμός υποκλοπής συνδέσεων SSH

Από τον διακομιστή διαχείρισης, οι δράστες συνδέθηκαν μέσω SSH σε έναν δεύτερο διακομιστή, γνωστό ως Switzerland2, χρησιμοποιώντας ένα κλειδί RSA το οποίο μυστηριωδώς δεν εντοπίστηκε στα εξουσιοδοτημένα αρχεία. Αφού μόλυναν και αυτό το σύστημα με το Ebury, προχώρησαν σε μαζικές τροποποιήσεις στους κόμβους εξόδου που έλεγχαν.

Η πρώτη βασική αλλαγή αφορούσε την ανακατεύθυνση της κυκλοφορίας SSH (θύρα 22) προς 12 διακομιστές υποκλοπής που βρίσκονταν υπό τον έλεγχο των χάκερ. Όταν οι χρήστες του Tor επιχειρούσαν να συνδεθούν σε έναν απομακρυσμένο διακομιστή, το σύστημα εμφάνιζε προειδοποίηση ότι το αποτύπωμα του κλειδιού υπολογιστή (host key) είχε αλλάξει. Όσοι χρήστες αγνόησαν την προειδοποίηση και πληκτρολόγησαν τα στοιχεία τους, έπεσαν στην παγίδα: οι εισβολείς υπέκλεψαν τους κωδικούς πρόσβασης, παρακολούθησαν σε πραγματικό χρόνο τις εντολές τους και μόλυναν με το Ebury και τους τελικούς διακομιστές των θυμάτων.

Απόπειρες εξαναγκασμού σε μη κρυπτογραφημένο email

Παράλληλα με τις επιθέσεις Man-in-the-Middle στο SSH, οι δράστες εφάρμοσαν μια τακτική υποβάθμισης ασφαλείας στα πρωτόκολλα ηλεκτρονικού ταχυδρομείου. Οι παραβιασμένοι κόμβοι εξόδου ρυθμίστηκαν ώστε να μπλοκάρουν τις τυπικές θύρες κρυπτογράφησης (25, 465, 587, 993 και 995), επιτρέποντας αποκλειστικά τις θύρες που δέχονται μη κρυπτογραφημένη επικοινωνία. Στόχος ήταν να εξαναγκαστούν οι διακομιστές ηλεκτρονικού ταχυδρομείου να υποβαθμίσουν τις συνδέσεις τους, επιτρέποντας στους επιτιθέμενους να διαβάσουν μηνύματα σε απλό κείμενο (plaintext), αν και παραμένει ασαφές σε ποιο βαθμό η συγκεκριμένη απόπειρα στέφθηκε με επιτυχία.

Η έρευνα ενός εθελοντή του Tor με το ψευδώνυμο Κάμπα αποκάλυψε το μέγεθος της επιχείρησης μέσω ειδικών εργαλείων και εικονικών παγίδων (honeypots). Παρά την επιτυχή αναχαίτιση, σημαντικά ερωτήματα παραμένουν αναπάντητα, όπως το πώς ακριβώς οι χάκερ απέκτησαν πρόσβαση σε τόσο μεγάλο αριθμό υποδομών ταυτόχρονα. Η χρήση του Ebury και το μοτίβο συλλογής δεδομένων δείχνουν πιθανότατα προς οργανωμένη ομάδα του κυβερνοεγκλήματος με οικονομικά κίνητρα.

Το σοβαρό αυτό περιστατικό υπενθυμίζει την κρίσιμη ανάγκη για πολυεπίπεδη άμυνα (defense-in-depth). Οι ειδικοί τονίζουν ότι οι χρήστες δεν πρέπει ποτέ να αγνοούν προειδοποιήσεις ασφαλείας για αλλαγή κλειδιών SSH, οφείλουν να καταργήσουν την πιστοποίηση με απλούς κωδικούς υπέρ των κρυπτογραφικών κλειδιών και να ρυθμίζουν τις υπηρεσίες τους ώστε να απορρίπτουν κατηγορηματικά οποιαδήποτε μη κρυπτογραφημένη σύνδεση.