攻撃者がTorの出口ノード333台を侵害し、SSH接続の傍受やパスワードの窃取、暗号化されていないメールトラフィックの収集を行っていました。
被害を受けたインフラは、約3,000台ある出口リレーの約10%に相当します。10月2日に始まった組織的な攻撃の間、侵害されたサーバーを経由して接続したユーザーが危険にさらされました。
調査した研究者の報告によると、侵入者は8月にサーバーへ最初にアクセスし、Linux OpenSSHのバックドアで認証情報窃取機能を持つEbury 1.8.3を展開していました。ただし、最初の侵入手口は不明のままです。
ホスティングプロバイダーが侵害されたとの見方もありますが、確認されていません。また、今回の公表では、攻撃を特定のグループによるものとはしていません。
報告によると、この攻撃ではポート22の外向きSSH接続を、12台の傍受用サーバーへリダイレクトしていました。通常の暗号化されたWebトラフィックはそのまま流れ続けたため、妨害は目立ちにくくなっていました。
一方、すでに接続実績のあるSSH接続先では、サーバーのIDがすり替えられたことでホスト鍵の不一致を示す警告が表示されました。研究者はこの警告から、傍受の試みが進行していることに気づきました。
Kabaによると、この警告を無視してパスワード認証を完了したユーザーは、認証情報を盗まれました。
その後、攻撃者は本来の接続先へ接続し、傍受したセッションを通じてコマンドを監視しました。さらに別の接続を開始し、Eburyのインストールを試みました。感染に成功するかどうかは、そのサーバー上のアカウントの権限や利用可能な特権によって左右されます。
攻撃者は特定のポートも制限し、メール接続を暗号化されていないサービスに集中させていたと報じられています。これにより、SSHの傍受とは別の情報収集の機会が生まれました。
この点は重要です。報告されたSSH攻撃は中間のエンドポイントをすり替えたものです。SSHの暗号の破られたことや、Torの基盤となる暗号そのものが侵害されたことを示すものではありません。
影響を受けたインフラを特定するため、研究者はexitmapを使って個々の出口リレーを選択し、管理下にある2台のサーバー間でSSH接続を確立しました。
一方のサーバーは提示されたホストフィンガープリントを確認し、接続先のサーバーは、接続が選択したリレーから来たものか、調査で特定した傍受用サーバーから来たものかを確認しました。
約3,000台の出口をテストしたところ、偽のフィンガープリントを提示したものが約12台ありました。また、フィンガープリントはすり替えないものの、同じ傍受用インフラを経由して接続を中継していたものが300台超あったと報告されています。
その後に設置したsshesameハニーポットでは、Pythonライブラリ「Paramiko」の使用が判明しました。また、権限チェックを行ったうえで、Base64デコードしたPerlペイロードをインストールしようとする試みも確認されました。
研究者は10月2日にTorのネットワークヘルスチームへ連絡しました。提供された経緯によると、運用者には10月4日に通知が出され、影響を受けたリレーにはBadExitフラグが付与されて、出口としての利用が禁止されました。
攻撃者は10月5日に一部のリレーを再起動しましたが、フラグの影響でミドルリレーとしてしか動作できませんでした。特定された感染サーバーはすべて、10月5日までに停止されたと報告されています。
この経緯には、攻撃者がtorrcの設定を書き換え、侵害した出口以外のリレーを出口に変えていたことも記されています。防御面で最も重要な教訓は、SSHのホストID警告を軽視しないこと、パスワード認証を鍵認証に切り替えることです。あわせて、漏えいした可能性のある認証情報やシステムを調査する必要があります。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/hackers-compromise-333-tor-exit-nodes/
