333 Tor çıkış düğümü ele geçirildi: SSH trafiği ve şifresiz e-postalar dinlendi

Ne oldu?

Bir araştırmacının salı günü aktardığına göre bilinmeyen saldırganlar 300'den fazla Tor çıkış düğümünü ele geçirdi. Düğümler, şifrelenmemiş e-posta trafiğini öne çıkaracak ve SSH bağlantılarını saldırganların kontrolündeki sunuculara yönlendirecek şekilde yeniden yapılandırıldı.

Saldırı nasıl ilerledi?

Tor gönüllülerinin aktardığına göre saldırı ağustos sonunda başladı. Saldırgan, daha önce başka yerde kullanılmış geçerli bir parolayla bir Tor yönetim sunucusuna erişti ve Linux için yazılmış, 12 yıl önce keşfedilen Ebury adlı arka kapıyı kurdu.

Ardından yönetim sunucusundan SSH üzerinden Switzerland2 adlı ikinci bir Tor sunucusuna bağlandı. Bu bağlantıda kullanılan RSA anahtarı, araştırmacıların Switzerland2'nin yetkili anahtarları arasında bulamadığı bir anahtardı; bunun nedeni hâlâ bilinmiyor.

Sonuç

Switzerland2 üzerinde yönetici kontrolü sağlayan saldırganlar buraya da Ebury'yi kurdu ve son olarak bu sunucunun barındırdığı iki çıkış düğümünün ayarlarını değiştirdi. Böylece trafik dinleme ve yönlendirme mümkün hale geldi.

Kullanıcılar için ne anlama geliyor?

Tor üzerinden yapılan şifresiz e-posta ve SSH gibi bağlantılar, çıkış düğümünü kontrol eden taraflarca izlenebilir. Uçtan uca şifreleme kullanmayan iletişimler bu tür ele geçirmelerde açık kalıyor.