چگونه بیش از 300 گره خروج Tor را حذف کردم

روز جمعه 2 اکتبر، ساعت 09:35 صبح، 333 گره خروجی آلوده یک کمپین هماهنگ را برای رهگیری اتصالات SSH و جمع آوری تا حد امکان داده های رمزگذاری نشده آغاز کردند.

برای درک مقیاس، همه Tor دارای حدود 3000 رله خروجی است، بنابراین تقریبا 10٪ تحت کنترل آنها بود.

مهاجمان دو ماه قبل، در ماه آگوست، به سرورها دسترسی پیدا کرده بودند و بی سر و صدا Ebury 1.8.3 خود را (یک درب پشتی OpenSSH و دزد اعتبار برای لینوکس) مستقر کردند.

به نظر می رسد این حمله دو هدف اصلی داشته است:

آنها با مسدود کردن پورت‌های خاص، گره‌های خروجی خود را مجبور کردند که فقط ترافیک ایمیل رمزگذاری نشده را مدیریت کنند. نوشته جالب یکی از قربانیان (یک اپراتور کهنه کار Tor) به جزئیات زیادی در مورد آن می پردازد: lists.torproject.org/mailman3

در این پست من بر حمله دوم، SSH MITM تمرکز خواهم کرد. اگر مداری را دریافت کنید که از یکی از آن 333 گره خروجی آلوده خارج می شود، در ابتدا متوجه چیزی نخواهید شد. ترافیک وب رمزگذاری شده طبق معمول ارسال می شود، اما اگر سعی کنید یک اتصال SSH از طریق پورت 22 برقرار کنید، ناآگاهانه به یکی از 12 سرور رهگیری SSH هدایت می شوید.

این دقیقا همان چیزی است که صبح جمعه برای من اتفاق افتاد. اتصال SSH من تغییر مسیر داد و با این اخطار استقبال شدم:

اما اگر اخطار را نادیده بگیرید و با ورود به سیستم ادامه دهید، مهاجم سه کار را انجام می دهد:

عصر جمعه با تیم سلامت شبکه Tor Project با یافته هایم تماس گرفتم. آنها تأیید کردند که این چیز جدیدی است و با تماس با اپراتورهای رله آسیب دیده دست به کار شدند.

تیم سلامت در اطلاعیه خود این الگو را شرح داده است:

می‌توانید تأثیر بسته شدن آن 333 گره خروجی را ببینید. در metrics.torproject.org یک شیب واضح در 4 اکتبر قابل مشاهده است و از آن زمان بهبود نیافته است.

اجرای یک رله را در نظر بگیرید: Community.torproject.org/relay/setup/

در این قسمت به جزئیات نحوه یافتن تمام گره های خروجی آلوده می پردازم.

با استفاده از exitmap، یک اسکریپت ساده ساختم که کارهای زیر را انجام می داد: یک گره خروجی را پین کرد، سپس یک اتصال SSH را از سرور A به سرور B من باز کرد.

من اسکریپت را بر روی هر یک از ~3000 رله خروجی اجرا کردم. حدود یک دوجین اثر انگشت جعلی ارائه کردند، و بیش از 300 مورد چیزی را رهگیری نکردند، اما از طریق همان سرورهای رهگیری هدایت شدند. تغییر مسیر به تنهایی برای تأیید آلوده بودن خروج کافی بود.

در برخی تجزیه و تحلیل های بیشتر، من از sshesame به عنوان یک عسل استفاده کردم. فریب MITM برای ورود به هانی پات نشان داد که آنها از paramiko (یک کتابخانه SSH پایتون) و همچنین چگونه سعی کردند Ebury را با استفاده از Perl نصب کنند.

ابتدا مجوزها را بررسی کنید، سپس یک دستور کدگذاری شده با base64 را اجرا کنید.

بزرگترین سوال هنوز این است که چگونه آنها در وهله اول وارد همه آن سرورها شدند. یک نظریه این است که خود شرکت میزبان هک شده است (در اینجا بحث شده است: lists.torproject.org). اما این فقط یک نظریه است که در اطراف شناور است. در حقیقت ، هیچ کس واقعا نمی داند.

دیگری این است که چه کسی پشت آن است. استفاده از Ebury و مجموعه گسترده داده های رمزگذاری نشده به یک گروه جنایتکار با انگیزه مالی اشاره دارد. اگرچه این نیز فقط حدس و گمان است.

من همچنین گمان می کنم که آنها عمدا حمله خود را در روز جمعه آغاز کردند، به این امید که هیچ کس نخواهد با پاسخ دادن به آخر هفته آنها را خراب کند. افتخار تیم Tor برای این که خیلی سریع عمل کردند!

درس مثل همیشه است: امنیت اضافی یک سرمایه گذاری ارزشمند است. احراز هویت رمز عبور را به نفع کلیدهای ssh غیرفعال کنید. من امروز قصد دارم برای خودم تعدادی کلید سخت افزاری بخرم. :)