Ein Angreifer übernahm 333 Tor-Exit-Relays und machte sie zu einer Sammelplattform: SSH-Sitzungen, die über die kompromittierten Exits liefen, wurden auf einen von zwölf Abfangservern umgeleitet. Gleichzeitig wurden die Ports für verschlüsselten E-Mail-Versand und -Abruf blockiert, sodass Nachrichten im Klartext lesbar waren, falls ein Dienst auf eine unverschlüsselte Verbindung zurückfiel. Die Darstellung stammt aus einem Bericht von Dan Goodin bei Ars Technica, der sich auf einen Beitrag und eine Untersuchung eines Tor-Freiwilligen namens Kaba sowie auf Aussagen weiterer Freiwilliger stützt.
Die Größenordnung ist entscheidend, weil das Netz klein ist: Laut Artikel gibt es im Tor-Netz rund 3.000 Exit-Nodes. Die gekaperten Relays machen also etwa ein Zehntel der Exits aus, über die der Datenverkehr das Netz verlassen kann.
Ein wiederverwendetes Passwort, Ebury und der Sprung nach Switzerland2
Laut den im Bericht zitierten Tor-Freiwilligen begann der Einbruch Ende August. Die eigentliche Übernahme fiel auf den Zeitraum zwischen dem 2. und 5. Oktober. Der Einstiegspunkt war ein gültiges Passwort, das auf einem Tor-Verwaltungsserver wiederverwendet worden war. Von dort installierte der Angreifer Ebury, ein Linux-Backdoor, das laut Artikel bereits zwölf Jahre zuvor entdeckt worden war. Anschließend öffnete er eine SSH-Verbindung von diesem Verwaltungsserver zu einer zweiten Tor-Maschine namens Switzerland2.
Dieser zweite Sprung nutzte einen RSA-Schlüssel, den die Ermittler unter den autorisierten Schlüsseln von Switzerland2 nicht finden konnten. Ebury wurde auch auf Switzerland2 installiert, und zwei Exit-Relays, die diese Maschine betrieb, wurden neu konfiguriert. Wie der Angreifer die Kontrolle über die übrigen zugrunde liegenden Server erlangte, ist nicht geklärt. Eine Theorie, die die Freiwilligen in den Raum gestellt haben, nämlich dass ein Hosting-Unternehmen kompromittiert wurde, bezeichnen sie als nicht schlüssig.
Wie SSH-Verkehr abgefangen und für weitere Infektionen genutzt wurde
Kabas Untersuchung ergab, dass SSH-Verkehr auf Port 22, der über die kompromittierten Exits lief, auf die zwölf vom Angreifer betriebenen Server umgeleitet wurde. Ignorierten Nutzer die Warnung über geänderte Host-Schlüssel, stahl der Angreifer ihr SSH-Passwort, öffnete eine Verbindung zum Zielserver und beobachtete alle eingegebenen Befehle. Danach öffnete er eine zweite Verbindung und infizierte den Server mit Ebury.
Der in der gefälschten Warnung angezeigte Fingerprint lautet SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E. Der Warntext ist die Standardmeldung des Clients, die mit „REMOTE HOST IDENTIFICATION HAS CHANGED“ beginnt. Wer während des betroffenen Zeitraums einen neuen Schlüssel von einem Exit-Relay akzeptiert hat, sollte sowohl die in dieser Sitzung verwendeten Zugangsdaten als auch den Server auf der Gegenseite als verdächtig behandeln.
E-Mail: Blockade der verschlüsselten Ports
Auf der E-Mail-Seite blockierten die kompromittierten Exits die Ports 25, 465, 587, 993 und 995, also die Ports für verschlüsselten Versand und Abruf. Die Ports für den Empfang unverschlüsselter E-Mails blieben dagegen offen. Dadurch wurde der Datenverkehr in Verbindungen gedrängt, die der Angreifer mitlesen konnte, falls ein Maildienst auf eine unverschlüsselte Verbindung zurückfiel. Ob ein solcher Downgrade-Versuch tatsächlich erfolgreich war, wird im Bericht nicht geklärt.
Das Prüfskript und der Honeypot, der die Angriffe aufdeckte
Die Kompromittierung kam nicht durch einen Hinweis ans Licht, sondern durch eine Prüfmethode. Ein Skript fragte jeden Exit-Relay ab, um zu sehen, ob er für einen Testserver den richtigen SSH-Fingerprint präsentierte. Der Testserver protokollierte außerdem, ob eine eingehende Verbindung von einem fest hinterlegten Exit oder von einem der zwölf Abfangserver stammte. Ein Honeypot wurde eingerichtet, um zu beobachten, wie die Abfangsoftware einen Login versuchte und Ebury installierte. Die Übernahme begann Ende August und fand zwischen dem 2. und 5. Oktober statt. Kabas eigene Testverbindung wurde an einem Freitagmorgen umgeleitet, und der Bericht des Forschers wurde am Dienstag veröffentlicht.
Zuordnung bleibt Spekulation
Kaba sagte, der Einsatz von Ebury zusammen mit der breiten Sammlung unverschlüsselter Daten deute auf eine finanziell motivierte Tätergruppe hin. Er beschrieb dies ausdrücklich als Spekulation. Der Artikel nennt nicht, wer hinter der Kampagne steckt.
Praktische Maßnahmen für alle, die diese Exits genutzt haben
Die Maßnahmen, die der Artikel auflistet, zielen genau auf das, was der Angreifer ausnutzte. Auf der Client-Seite sollte man nur verschlüsselten E-Mail-Verkehr zulassen und unverschlüsselte Ports ablehnen. Die Passwort-Authentifizierung für SSH sollte deaktiviert werden, stattdessen schlüsselbasierte Logins: Dagegen hätten die abgefangenen Zugangsdaten nichts ausgerichtet. Und ein unerwarteter Wechsel des Host-Schlüssels sollte als möglicher Man-in-the-Middle-Angriff behandelt werden und nicht als lästige Meldung, die man wegklickt. Die Warnung selbst fordert Nutzer auf, den Systemadministrator zu kontaktieren. Nur eine Überprüfung des neuen Schlüssels über einen zweiten Kanal zeigt zuverlässig, ob es sich um eine legitime Schlüsselrotation oder um einen Abfangserver handelt.
