Preuzeti Tor releji presretali SSH prijave lozinkom
Napadači su početkom oktobra preuzeli više od 300 Tor izlaznih releja i koristili ih za preusmeravanje SSH veza na 12 servera za presretanje. Skeniranje istraživača kaba od 2. oktobra pronašlo je 333 releja koja su preusmeravala saobraćaj, dok analiza javnih podataka direktorijuma beleži 377 releja kod 59 operatera sa izmenjenom izlaznom politikom između 1. i 4. oktobra.
Na vrhuncu 4. oktobra, releji sa tom politikom predstavljali su 7,46% izlaznog kapaciteta Tor mreže, mereno težinom u konsenzusu. Tor Project je počeo da ih označava istog dana, a do 5. oktobra nijedan takav relej nije ostao u konsenzusu koji Tor klijenti koriste pri izboru releja.
Kako je funkcionisalo presretanje
Napadači su menjali torrc konfiguraciju kako bi otvorili port 22 na 342 releja na kojima je SSH ranije bio blokiran. Dodatna 24 čvora, koja prethodno nisu bila izlazni releji, pretvorena su u izlazne. Istovremeno su na mnogim pogođenim relejima zatvoreni šifrovani portovi za IMAPS i POP3S, a otvoreni POP3 i IMAP.
Kada bi korisnik preko takvog releja pokrenuo SSH vezu, veza je mogla biti usmerena na posrednički server. On je prikazivao sopstveni host ključ. Korisnik koji je već poznavao pravi ključ dobijao je upozorenje o promenjenom identitetu udaljenog računara, dok je korisnik pri prvom povezivanju dobijao uobičajeni zahtev da prihvati novi ključ.
Lozinka uneta nakon prihvatanja ključa bila je dostupna presretaču, koji je zatim mogao da se poveže sa stvarnim serverom i prosleđuje sesiju. Prijava SSH ključem nije mogla biti prosleđena na isti način, jer potpis klijenta sadrži oznaku jedinstvenu za sesiju. Posrednik je ipak mogao da prihvati ključ i prikaže lažnu ljusku, ali ne i da njime pristupi stvarnom odredištu.
Ebury i tragovi kompromitacije
Operater porodice releja Quetzalcoatl potvrdio je da je promena politike na njegovim sistemima bila neovlašćena. Na dva njegova servera pronađen je Ebury 1.8.3, bekdor i kradljivac kredencijala za OpenSSH. Kompromitovani upravljački server nalazio se kod Contabo, dok je drugi VPS bio kod FranTech-a; napadač je pristupio nalogu pomoću lozinke, stekao root privilegije i instalirao Ebury.
U ovom slučaju uzrok je bila ista lozinka korišćena za SSH prijavu, sudo i rezervnu lozinku, uz aktivnu SSH autentikaciju lozinkom na javno dostupnom upravljačkom serveru. Ebury može da se sakrije kao setuid biblioteka i da izbegne uobičajene provere paketa, pa odsustvo očiglednih tragova na živom sistemu ne isključuje kompromitaciju.
Šta treba proveriti
Tor Project preporučuje operaterima da provere status i izlaznu politiku releja, kao i torrc i uključene konfiguracione datoteke radi neočekivanih izmena stavki ExitRelay, ExitPolicy, ContactInfo, MyFamily i Nickname. Treba pregledati i NAT pravila za port 22, nepoznate procese i odlazne veze, nove korisnike, authorized_keys unose, cron poslove, systemd jedinice i integritet Tor binarnog paketa.
Korisnici koji su između 1. i 5. oktobra preko Tora prihvatili nepoznat ili promenjen SSH host ključ i uneli lozinku treba da je smatraju kompromitovanom, odmah je promene i provere server. Ako se pronađe implant, preporučeni postupak je isključivanje releja, čuvanje diska i logova, potpuna ponovna instalacija, nova identifikacija releja i rotacija svih kredencijala sa hosta. Za poslovanje je ključna pouka da se pristup administrativnim sistemima zasniva na SSH ključevima, jedinstvenim lozinkama i doslednoj proveri otisaka udaljenih hostova.