Κυβερνοεπίθεση στο Tor: Χάκερ κατέλαβαν 333 κόμβους εξόδου για υποκλοπή SSH και ηλεκτρονικού ταχυδρομείου

Μία εκτεταμένη και εξαιρετικά στοχευμένη επιχείρηση κυβερνοκατασκοπείας έπληξε το δίκτυο ανωνυμίας Tor, όταν άγνωστοι επιτιθέμενοι κατάφεραν να θέσουν υπό τον έλεγχό τους 333 κόμβους εξόδου (exit nodes). Στόχος των δραστών ήταν η παρακολούθηση και ανακατεύθυνση της ευαίσθητης κίνησης SSH (Secure Shell), καθώς και η υποκλοπή μη κρυπτογραφημένων μηνυμάτων ηλεκτρονικού ταχυδρομείου.

Η μέθοδος παραβίασης και το κακόβουλο λογισμικό Ebury

Σύμφωνα με τα στοιχεία που έφεραν στο φως εθελοντές ερευνητές του δικτύου, η επίθεση ξεκίνησε στα τέλη Αυγούστου. Οι εισβολείς εκμεταλλεύτηκαν έναν επαναχρησιμοποιημένο κωδικό πρόσβασης για να αποκτήσουν διαχειριστική πρόσβαση σε κεντρικό διακομιστή του Tor. Αμέσως μετά, εγκατέστησαν το Ebury, ένα διαβόητο backdoor για συστήματα Linux που πρωτοεμφανίστηκε πριν από περίπου 12 χρόνια και χρησιμοποιείται κατά κόρον για την κλοπή διαπιστευτηρίων.

Στη συνέχεια, οι χάκερ μετακινήθηκαν πλευρικά σε έναν δεύτερο διακομιστή, γνωστό ως Switzerland2, χρησιμοποιώντας ένα κλειδί RSA του οποίου η προέλευση παραμένει αδιευκρίνιστη. Μέσω αυτού, εγκατέστησαν εκ νέου το Ebury και τροποποίησαν τις ρυθμίσεις σε διαδοχικούς κόμβους εξόδου. Η ενεργή φάση των υποκλοπών κορυφώθηκε στο διάστημα μεταξύ 2 και 5 Οκτωβρίου, επηρεάζοντας περίπου το 10% του συνόλου των ενεργών κόμβων εξόδου του δικτύου.

Υποκλοπή κωδικών SSH και υποβάθμιση κρυπτογράφησης email

Οι 333 παραβιασμένοι κόμβοι αναδιαμορφώθηκαν με δύο βασικούς άξονες δράσης. Ο πρώτος αφορούσε τη δρομολόγηση της κίνησης SSH (μέσω της θύρας 22) προς 12 ελεγχόμενους διακομιστές υποκλοπής. Όσοι χρήστες συνδέονταν μέσω Tor και αγνοούσαν τη συνήθη προειδοποίηση αλλαγής ταυτότητας διακομιστή (host key warning), έπεφταν στην παγίδα: οι επιτιθέμενοι κατέγραφαν τους κωδικούς πρόσβασης, παρακολουθούσαν σε πραγματικό χρόνο τις εντολές που πληκτρολογούνταν και επιχειρούσαν να μολύνουν και τα τελικά συστήματα των θυμάτων με το Ebury.

Ο δεύτερος άξονας επικεντρώθηκε στην υποβάθμιση της ασφάλειας των email. Οι επιτιθέμενοι μπλόκαραν τις θύρες που προορίζονται για κρυπτογραφημένη επικοινωνία (όπως οι θύρες 25, 465, 587, 993 και 995), επιτρέποντας αποκλειστικά τη διέλευση μη κρυπτογραφημένης κίνησης. Σε περιπτώσεις όπου οι διακομιστές αλληλογραφίας δεν εφάρμοζαν αυστηρά πρωτόκολλα κρυπτογράφησης και υποβίβαζαν τη σύνδεση σε απλό κείμενο (plaintext), οι εισβολείς αποκτούσαν άμεση πρόσβαση στο περιεχόμενο των μηνυμάτων.

Τα διδάγματα για την κυβερνοασφάλεια και τα αναπάντητα ερωτήματα

Η αποκάλυψη της επίθεσης έγινε χάρη στην παρατηρητικότητα ενός εθελοντή του Tor με το ψευδώνυμο «Κάμπα», ο οποίος, αφού διαπίστωσε ανεπιθύμητη ανακατεύθυνση στη δική του σύνδεση, δημιούργησε ειδικό λογισμικό ανίχνευσης και παγίδες (honeypots) για να χαρτογραφήσει την έκταση της μόλυνσης στους περίπου 3.000 κόμβους του δικτύου.

Παρά την εξουδετέρωση της απειλής, βασικά ερωτήματα παραμένουν αναπάντητα, όπως το πώς ακριβώς οι δράστες απέκτησαν πρόσβαση σε τόσο μεγάλο αριθμό ανεξάρτητων διακομιστών. Οι ειδικοί εικάζουν ότι πρόκειται για οργανωμένη ομάδα του κυβερνοεγκλήματος με οικονομικά κίνητρα, δεδομένης της επιλογής του Ebury. Το περιστατικό υπογραμμίζει την κρίσιμη σημασία της άμυνας σε βάθος (defense-in-depth): οι διαχειριστές οφείλουν να καταργούν την αυθεντικοποίηση SSH μέσω κωδικών υπέρ των κρυπτογραφικών κλειδιών, να μην παρακάμπτουν ποτέ τις προειδοποιήσεις ασφαλείας και να επιβάλλουν απαρέγκλιτα κρυπτογραφημένες επικοινωνίες παντού.