Каждый десятый выходной узел Tor был захвачен для перехвата SSH-трафика

В пятницу вечером 2 октября началась скоординированная атака на пользователей сети Tor. Злоумышленники, заранее получившие доступ к серверам, активировали вредоносное ПО на 333 выходных узлах из примерно 3000 существующих. Эти узлы, через которые трафик покидает сеть Tor в открытый интернет, стали инструментом для перехвата данных.

Основной целью атакующих были незашифрованные соединения и SSH-трафик. На скомпрометированных узлах вредоносная программа перенаправляла SSH-подключения, вероятно, для кражи учётных данных или внедрения в сессии. Параллельно шёл сбор любого трафика, передаваемого без шифрования.

Атака была выявлена уже 4 октября. Специалисты начали блокировать вредоносные узлы, а к 5 октября все затронутые серверы были отключены — либо самими операторами, либо, в некоторых случаях, самими злоумышленниками, заметавшими следы. Расследование показало, что доступ к серверам атакующие получили задолго до начала активной фазы — примерно за два месяца.

Всё это время они оставались незамеченными, внедряя троян Ebury версии 1.8.3. Это известное вредоносное ПО для Linux-систем, которое часто используется для кражи SSH-ключей и создания бэкдоров. Масштаб инцидента — почти 10% выходной инфраструктуры Tor — делает его одним из крупнейших за последние годы.

Хотя сеть Tor часто подвергается атакам, одновременный контроль над таким количеством узлов даёт злоумышленникам широкие возможности для анализа и перехвата трафика. Важно отметить, что атака не затрагивала саму технологию Tor или её шифрование. Уязвимость была на уровне серверов, управляемых добровольцами.

Злоумышленники использовали стандартные методы компрометации хостинга, чтобы установить Ebury. Пользователям, которые применяли сквозное шифрование (например, HTTPS или SSH с проверкой ключей), прямой угрозы раскрытия данных не было. Однако те, кто передавал пароли или конфиденциальную информацию по незащищённым протоколам, могли стать жертвами.

Инцидент подчёркивает риски, связанные с выходными узлами Tor. Они находятся на границе между анонимной сетью и открытым интернетом, и их компрометация позволяет видеть трафик в незашифрованном виде. Операторам узлов рекомендуется усилить защиту серверов и мониторинг.

Разработчики Tor Project оперативно отреагировали, удалив скомпрометированные узлы из списка доверенных. Также были обновлены рекомендации для операторов по обнаружению Ebury и подобных угроз. Хотя атака была краткосрочной, она напоминает, что анонимность в Tor не абсолютна и зависит от доверия к операторам выходных узлов.

Пользователям советуют всегда применять шифрование на прикладном уровне и избегать передачи чувствительных данных через непроверенные каналы.