Угон 300 выходных узлов Tor: охота за SSH-паролями

В начале октября неизвестные взяли под контроль свыше трёхсот выходных узлов (exit relays) сети Tor — последнего звена цепочки, через которое трафик покидает сеть и уходит к адресату. Через захваченные узлы они перенаправляли SSH-соединения на свои серверы, крадущие пароли. Об атаке сообщил исследователь, публикующийся под псевдонимом kaba.

Как это работало

Выходной узел пропускает трафик только на те порты, которые разрешены его политикой. Атакующие переписали конфигурационный файл torrc, открыв на узлах порт 22 (SSH): на 342 ранее блокировавших его узлах, а ещё 24 машины, вовсе не бывшие выходными, превратили в выходные. Заодно закрылись зашифрованные почтовые порты (IMAPS, POP3S) и на большинстве узлов открылись их незащищённые аналоги.

Когда SSH-соединение через такой узел уходило не к адресату, а на один из двенадцати серверов-перехватчиков, тот предъявлял собственный хостовый ключ. Пользователь, уже знавший настоящий ключ сервера, видел предупреждение OpenSSH о его смене; подключавшийся впервые — обычное приглашение принять новый ключ. Приняв ключ и введя пароль, жертва передавала его перехватчику, а тот соединялся с реальным сервером — сессия работала как ни в чём не бывало.

Важно, что так можно украсть только пароль: при входе по ключу подпись клиента привязана к конкретной сессии и для настоящего сервера бесполезна.

Масштаб и реакция

Уязвимыми оказались лишь те, кто входил на SSH-сервер через Tor с 1 по 5 октября, попал на захваченный узел, принял чужой ключ и вошёл по паролю. Числа пострадавших нет.

2 октября kaba просканировал около трёх тысяч выходных узлов и нашёл 333 перенаправляющих SSH. Анализ директорий Tor насчитал 377 узлов 59 операторов, сменивших политику. На пике 4 октября они составляли 7,46 % выходной мощности сети. Tor Project начал помечать узлы как BadExit 4 октября, и к 5 октября ни одного в консенсусе не осталось.

Корень проблемы — Ebury

Один из операторов, Циммер (семейство узлов Quetzalcoatl), нашёл у себя бэкдор Ebury версии 1.8.3 — крадущую учётные данные закладку для OpenSSH, известную с 2009 года; по оценке ESET, она заразила около 400 000 серверов. Атакующий вошёл на его управляющий сервер 28 августа с первой попытки: пароль использовался повторно для SSH, sudo и резервной копии и хранился в открытом виде.

Ebury маскируется под библиотеку libkeyutils, переживает перезагрузку и не попадается штатным проверкам пакетов. Как были взломаны серверы остальных 58 операторов — главный открытый вопрос; заметная их доля размещалась у одного хостера. Кто стоит за кампанией, неизвестно.

Источник: The Hacker News