Κυβερνοεπίθεση στο Tor: Χάκερ υπέκλεψαν 333 exit nodes για υποκλοπή SSH και email

Σε κατάσταση συναγερμού τέθηκε η κοινότητα κυβερνοασφάλειας μετά την αποκάλυψη μίας εκτεταμένης επιχείρησης κατασκοπείας στο δίκτυο Tor. Άγνωστοι εισβολείς κατόρθωσαν να θέσουν υπό τον έλεγχό τους 333 κόμβους εξόδου (exit nodes) —περίπου το 10% του συνόλου του δικτύου— τροποποιώντας τις ρυθμίσεις τους, με στόχο την υποκλοπή διαπιστευτηρίων SSH και τη συλλογή μη κρυπτογραφημένων μηνυμάτων ηλεκτρονικού ταχυδρομείου.

Το χρονικό της παραβίασης και η χρήση του κακόβουλου Ebury

Σύμφωνα με αναφορές εθελοντών του Tor, η εισβολή ξεκίνησε στα τέλη Αυγούστου. Οι επιτιθέμενοι εκμεταλλεύτηκαν έναν έγκυρο κωδικό πρόσβασης που είχε επαναχρησιμοποιηθεί, αποκτώντας πρόσβαση σε κεντρικό διακομιστή διαχείρισης. Στη συνέχεια, εγκατέστησαν το Ebury, ένα διαβόητο backdoor για συστήματα Linux που πρωτοεμφανίστηκε πριν από 12 χρόνια και χρησιμοποιείται ευρέως για υποκλοπές διαπιστευτηρίων και δημιουργία botnet.

Από εκείνον τον διακομιστή, οι δράστες συνδέθηκαν μέσω SSH σε έναν δεύτερο διακομιστή με την ονομασία Switzerland2, κάνοντας χρήση ενός μυστηριώδους κλειδιού RSA το οποίο δεν εντοπίστηκε στη λίστα των εξουσιοδοτημένων κλειδιών του συστήματος. Αφού απέκτησαν δικαιώματα διαχειριστή, μόλυναν και αυτόν τον διακομιστή με το Ebury και άλλαξαν τις παραμέτρους λειτουργίας των exit nodes που φιλοξενούσε. Η εκστρατεία μαζικής παρακολούθησης τέθηκε σε πλήρη εφαρμογή μεταξύ 2 και 5 Οκτωβρίου.

Πώς στήθηκε η παγίδα: Man-in-the-Middle και υποβάθμιση κρυπτογράφησης

Η στρατηγική των επιτιθέμενων στηρίχθηκε σε δύο άξονες παρακολούθησης της δικτυακής κίνησης:

Αφενός, ανακατηύθυναν όλη την κίνηση SSH (θύρα 22) που διέρχονταν από τους μολυσμένους κόμβους προς 12 δικούς τους εξειδικευμένους διακομιστές υποκλοπής. Στην πράξη, επρόκειτο για μία κλασική επίθεση ενδιάμεσου (man-in-the-middle). Όσοι χρήστες αγνόησαν την κρίσιμη προειδοποίηση του τερματικού ότι το κλειδί ταυτοποίησης του απομακρυσμένου διακομιστή είχε αλλάξει, εισήγαγαν εν αγνοία τους τα στοιχεία σύνδεσής τους απευθείας στα συστήματα των χάκερ. Οι δράστες υπέκλεπταν άμεσα τους κωδικούς, κατέγραφαν τις εντολές των χρηστών και μόλυναν και τους τελικούς διακομιστές με το Ebury.

Αφετέρου, οι εισβολείς μπλόκαραν τις θύρες ασφαλούς ηλεκτρονικού ταχυδρομείου (25, 465, 587, 993 και 995), αφήνοντας ανοιχτές μόνο τις μη κρυπτογραφημένες θύρες. Με αυτόν τον τρόπο, αποπειράθηκαν να εξαναγκάσουν τα συστήματα ηλεκτρονικού ταχυδρομείου να υποβαθμίσουν τη σύνδεσή τους σε plaintext, ώστε να καταστεί δυνατή η ανάγνωση της αλληλογραφίας καθώς περνούσε από τους κόμβους εξόδου.

Τα αναπάντητα ερωτήματα και η σημασία της άμυνας σε βάθος

Η υπόθεση ήρθε στο φως χάρη στις παρατηρήσεις ενός ερευνητή και εθελοντή του δικτύου Tor με το ψευδώνυμο Κάμπα, ο οποίος εντόπισε την αλλαγή στο δακτυλικό αποτύπωμα SSH και δημιούργησε ένα honeypot, καταγράφοντας τη δράση του Ebury σε πραγματικό χρόνο.

Παρόλα αυτά, κρίσιμα ερωτήματα παραμένουν αναπάντητα. Οι ερευνητές δεν έχουν ακόμη εξακριβώσει πώς παραβιάστηκαν ταυτόχρονα 333 υποδομές —πιθανολογείται η διάτρηση κάποιου μεγάλου παρόχου φιλοξενίας— ούτε ποια ομάδα βρίσκεται πίσω από την επιχείρηση, αν και η χρήση του Ebury παραπέμπει συνήθως σε οικονομικά υποκινούμενο κυβερνοέγκλημα.

Το σοβαρό αυτό περιστατικό υπενθυμίζει τη σημασία της πολυεπίπεδης άμυνας (defense-in-depth). Οι διαχειριστές συστημάτων οφείλουν να καταργούν την αυθεντικοποίηση μέσω κωδικών πρόσβασης υπέρ των κλειδιών SSH, να μην αγνοούν ποτέ τις προειδοποιήσεις ασφαλείας και να επιβάλλουν αυστηρά κρυπτογραφημένες επικοινωνίες στα πρωτόκολλα ηλεκτρονικού ταχυδρομείου.