Más de 300 nodos de salida de Tor fueron secuestrados por atacantes desconocidos, quienes los reconfiguraron para favorecer el tráfico de correos electrónicos no cifrados y redirigir conexiones SSH a servidores controlados por ellos. Este ataque comenzó a finales de agosto, cuando el atacante utilizó una contraseña válida que había sido reutilizada para acceder a un servidor de gestión de Tor.
Una vez dentro, el atacante instaló Ebury, un backdoor para Linux, y se conectó a otro servidor de Tor, llamado Switzerland2, a través de SSH. Con el control administrativo de Switzerland2, los atacantes instalaron Ebury allí también y reconfiguraron dos nodos de salida que hospedaba este servidor. En total, 333 nodos de salida estuvieron involucrados en la campaña de interceptación de SSH y correos electrónicos.
Las modificaciones realizadas por los atacantes redirigieron el tráfico SSH que pasaba por Tor hacia uno de 12 servidores de interceptación controlados por ellos. Los usuarios de Tor que ignoraron las advertencias sobre cambios en la clave del host SSH ingresaron sus contraseñas sin darse cuenta del riesgo. Además, los nodos de salida bloquearon puertos utilizados para aceptar correos electrónicos cifrados, permitiendo únicamente conexiones no cifradas, lo que facilitó la obtención de mensajes por parte de los atacantes.
El ataque se llevó a cabo entre el 2 y el 5 de octubre, y aunque los voluntarios de Tor habían delineado inicialmente la compromisión del servidor de gestión y de Switzerland2, el informe reciente reveló detalles sobre el número de nodos comprometidos y cómo se utilizó esta infraestructura para redirigir el tráfico SSH. Un voluntario de Tor, conocido como Kaba, advirtió que si un usuario se conectaba a través de uno de los nodos infectados, no notaría nada al principio, ya que el tráfico web cifrado se reenvía como de costumbre.
Sin embargo, al intentar una conexión SSH a través del puerto 22, el usuario sería redirigido a uno de los servidores de interceptación. Kaba experimentó esto en primera persona y recibió una advertencia sobre un posible ataque de tipo man-in-the-middle. Para investigar la campaña, Kaba creó un script que verificaba todos los nodos de salida de Tor para comprobar si recibían una huella digital SSH correcta desde un servidor de prueba, lo que permitió identificar la magnitud del ataque y la actividad del software de interceptación.
Comentarios