Un attaccante ha preso il controllo di 333 relay di uscita Tor e li ha trasformati in una piattaforma di raccolta dati. Le sessioni SSH che passavano attraverso le uscite compromesse venivano reindirizzate verso uno di dodici server di intercettazione, mentre le porte usate per l'invio e il recupero cifrati della posta venivano bloccate, così che i messaggi potessero essere letti in chiaro nel caso un servizio ripiegasse su una connessione non cifrata. La notizia proviene da un articolo di Ars Technica firmato da Dan Goodin, che si basa su un post e su un'indagine di un volontario di Tor identificato come Kaba, oltre che su dichiarazioni di altri volontari.
La dimensione conta, perché la rete è piccola: l'articolo stima che Tor conti circa 3.000 nodi di uscita, quindi i relay dirottati rappresentano circa un decimo delle uscite attraverso cui il traffico può lasciare la rete.
Una password riutilizzata, Ebury e il passaggio a Switzerland2
Secondo i volontari di Tor citati nel resoconto, l'intrusione è iniziata alla fine di agosto, mentre il dirottamento vero e proprio si è collocato tra il 2 e il 5 ottobre. Il punto d'ingresso è stata una password valida, riutilizzata su un server di gestione di Tor. Da lì l'attaccante ha installato Ebury, una backdoor per Linux che secondo l'articolo era stata scoperta dodici anni prima, e poi ha aperto una connessione SSH da quel server di gestione verso una seconda macchina di Tor, indicata come Switzerland2.
Per questo secondo salto è stata usata una chiave RSA che gli investigatori non sono riusciti a trovare tra le chiavi autorizzate di Switzerland2. Ebury è stato installato anche su Switzerland2, e due relay di uscita ospitati da quella macchina sono stati riconfigurati. I volontari non hanno stabilito come l'attaccante abbia ottenuto il controllo dei restanti server sottostanti. Una delle ipotesi avanzate, cioè che sia stata compromessa una società di hosting, viene descritta come non conclusiva.
Come è stato intercettato il traffico SSH e come sono aumentate le infezioni
L'indagine di Kaba ha stabilito che il traffico SSH sulla porta 22 che attraversava le uscite compromesse veniva reindirizzato verso i dodici server gestiti dall'attaccante. Quando gli utenti ignoravano l'avviso di cambio della chiave dell'host, l'attaccante rubava la loro password SSH, apriva una connessione verso il server della vittima e osservava tutti i comandi digitati. Poi apriva una seconda connessione e infettava il server con Ebury.
L'impronta presentata nell'avviso falsificato è SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E. Il testo dell'avviso è il messaggio standard del client che inizia con «REMOTE HOST IDENTIFICATION HAS CHANGED». Chi ha accettato una nuova chiave da un relay di uscita durante il periodo interessato dovrebbe considerare sospette sia le credenziali usate in quella sessione sia il server dall'altra parte.
Posta elettronica: il blocco delle porte cifrate
Sul fronte della posta, i relay compromessi bloccavano le porte 25, 465, 587, 993 e 995, quelle usate per l'invio e il recupero cifrati, lasciando invece aperte le porte per la ricezione della posta non cifrata. L'effetto era spingere il traffico verso connessioni che l'attaccante poteva leggere, nel caso in cui un servizio di posta ripiegasse su una connessione non cifrata. Il resoconto non stabilisce se qualche tentativo di downgrade sia effettivamente riuscito.
Lo script di verifica e l'honeypot che ha smascherato l'operazione
La compromissione è emersa grazie a un metodo di verifica, non a una segnalazione. Uno script interrogava ogni relay di uscita per controllare se presentasse l'impronta SSH corretta per un server di test. Il server di test registrava anche se una connessione in arrivo proveniva da un relay di uscita fissato oppure da uno dei dodici server di intercettazione. È stato allestito un honeypot per osservare il software di intercettazione mentre tentava un login e installava Ebury. Il dirottamento è iniziato a fine agosto e si è verificato dal 2 al 5 ottobre. La connessione di prova di Kaba è stata reindirizzata un venerdì mattina, mentre il resoconto del ricercatore è stato pubblicato di martedì.
L'attribuzione resta una speculazione
Kaba ha detto che l'uso di Ebury, insieme alla raccolta massiccia di dati non cifrati, suggerisce un gruppo criminale motivato da interessi economici, e ha esplicitamente definito questa conclusione una speculazione. L'articolo non identifica chi sta dietro la campagna.
Misure pratiche per chi ha usato questi relay
Le misure elencate nell'articolo mirano proprio a ciò che l'attaccante ha sfruttato. Lato client, accettare solo traffico di posta cifrato e rifiutare le porte non cifrate. Disattivare l'autenticazione tramite password per SSH e usare il login basato su chiavi, contro il quale le credenziali intercettate non sarebbero servite. E considerare un cambio inatteso della chiave dell'host come un possibile attacco man-in-the-middle, non come un fastidio da liquidare con un clic: l'avviso stesso invita a contattare l'amministratore di sistema, e verificare la nuova chiave su un canale separato è l'unico modo per distinguere una rotazione legittima da un server di intercettazione.
