Güvenlik araştırmacıları tarafından Salı günü yapılan bir açıklamayla, kimliği belirsiz hackerların 300'den fazla Tor çıkış nodunu ele geçirdiği ve bu nodları şifrelenmemiş e-posta trafiğini yönlendirmek ve SSH bağlantılarını kendi kontrollerindeki sunuculara aktarmak için yeniden yapılandırdığı ortaya çıktı.
Bu saldırının ağustos sonlarında başladığı bildirildi. Tor gönüllülerinin aktardığı bilgilere göre, saldırganlar daha önce yeniden kullanılan geçerli bir şifreyle bir Tor yönetim sunucusuna erişim sağlamış. Ardından, 12 yıl önce keşfedilen ve Linux için yazılmış bir arka kapı olan Ebury'yi yüklemişler.
Gizemli Noktalar Devam Ediyor
Saldırganlar, yönetim sunucusundan İsviçre2 adı verilen ikinci bir Tor sunucusuna, bilinmeyen bir nedenle araştırmacıların yetkilendirilmiş anahtarları arasında bulamadığı bir RSA anahtarı kullanarak SSH üzerinden bağlandı. İsviçre2 üzerinde idari kontrol sağlayan saldırganlar, buraya da Ebury'yi kurdu. Son olarak, İsviçre2'nin barındırdığı iki çıkış nodunun ayarlarını yeniden yapılandırdılar.
Nihayetinde, SSH ve e-posta trafiğini izleme kampanyasına 333 çıkış rölesi dahil oldu. Ancak araştırmacılar, saldırganların alttaki sunucuların kontrolünü nasıl ele geçirdiğini henüz netleştirebilmiş değil. Saldırganlar sunucuları yeniden yapılandırarak, Tor üzerinden geçen SSH trafiğini 12 adet saldırgan kontrolündeki izleyici sunucudan birine yönlendirdi. SSH anahtarının değiştiğine dair uyarıları dikkate almayan Tor kullanıcıları, SSH şifrelerini girdiler.
İkinci bir değişiklik setiyle, çıkış nodları çeşitli şifreli e-posta türlerini kabul etmek için kullanılan 25, 465, 587, 993 ve 995 numaralı portları engellerken, şifrelenmemiş e-postaların alınmasına izin vermeye devam etti. E-posta servisleri bağlantıları düşürdüyse, saldırganlar çıkış nodlarına erişimlerini kullanarak şifrelenmemiş mesajları ele geçirdiler. Bu tür düşürme girişimlerinin başarıya ulaşıp ulaşmadığı belirsizliğini koruyor. Ele geçirme olayı 2-5 Ekim tarihleri arasında gerçekleşti.
Tor gönüllüleri, yönetim sunucusunun ve İsviçre2'nin ilk ele geçirilme şeklini ve şifrelenmemiş e-postaları izleme girişimini kısmen açıklamıştı. Salı günkü rapor ise, kaç çıkış nodunun ele geçirildiği ve saldırganların bunları SSH trafiğini yönlendirmek için nasıl kullandığı gibi birçok yeni detayı ortaya çıkardı.
Raporda yer alan ve Tor gönüllüsü olan Kaba isimli araştırmacı, "Eğer bu 333 enfekte çıkış nodundan birinden çıkan bir devreye denk gelirseniz, ilk başta hiçbir şey fark etmezsiniz," dedi. "Şifreli web trafiği her zamanki gibi iletilir, ancak 22. Port üzerinden bir SSH bağlantısı denerseniz, farkında olmadan 12 SSH izleme sunucusundan birine yönlendirilirsiniz. Cuma sabahı başıma tam olarak bu geldi." Kaba daha sonra şu uyarıyı aldı:
Gönüllü daha fazla araştırma yaparak, insanlar uyarıyı dikkate almadığında saldırganın (1) SSH şifresini çaldığını, (2) sunucuya bir bağlantı açıp yazılan tüm komutları gözlemlediğini ve (3) ikinci bir bağlantı açıp sunucuyu Ebury ile enfekte ettiğini buldu.
Kampanyayı araştırmak için Kaba, Tor'un yaklaşık 3.000 çıkış nodunu sorgulayarak doğru bir SSH parmak izini bir test sunucusundan alıp almadıklarını kontrol eden bir betik oluşturdu. Test sunucusu daha sonra bağlantının sabitlenmiş bir çıkış nodundan mı yoksa saldırganın kullandığı 12 SSH izleme sunucusundan mı geldiğini kontrol etti. Gönüllü ayrıca, izleme yazılımının giriş yapma ve Ebury kurma girişimlerini gözlemlemek için bir tuzak kurdu.
Birkaç gizem hala çözülemedi. Tor gönüllüleri hala saldırganların bu kadar çok sunucuya nasıl eriştiğini bilmiyor. Bir olasılık, onları barındıran bir şirketin hacklenmiş olması, ancak bu teori sonuçsuz kalıyor. Başka bir açık soru ise saldırının arkasında kimin olduğudur. Kaba, "Ebury'nin kullanımı ve şifrelenmemiş verilerin geniş çaplı toplanması, mali motivasyonlu bir suç grubuna işaret ediyor. Ancak bu da sadece bir spekülasyon." diye yazdı.
Son olarak kafa karıştırıcı bir bulgu: İsviçre2, yetkili bir SSH sertifikası olduğuna dair hiçbir kanıt yokken neden bir RSA anahtarını kabul etti?
Bu olaydan çıkarılması gereken ders, bu tür toplu hacklerde veri hırsızlığını önlemede katmanlı savunmanın kritik rolüdür. Bu önlemler arasında, e-posta hesaplarını yalnızca şifreli trafiği kabul edecek ve şifrelenmemiş portları reddedecek şekilde yapılandırmak yer alıyor. Bir diğeri ise, SSH anahtarlarına öncelik vererek şifre kimlik doğrulamasını devre dışı bırakmaktır.
