Kẻ tấn công xâm nhập 333 exit node Tor để chặn SSH và email
"From October 2-5, attackers compromised 333 Tor exit nodes by exploiting a reused password on a management server and installing the Ebury backdoor. They redirected SSH traffic to interceptor servers and reconfigured nodes to prioritize unencrypted email, potentially enabling man-in-the-middle attacks. Mitigation involves enforcing encrypted email protocols and using SSH keys instead of passwords."
Sự cố này cho thấy lỗ hổng bảo mật nghiêm trọng trong hệ thống Tor, có thể dẫn đến tấn công man-in-the-middle và đánh cắp thông tin đăng nhập.
Các doanh nghiệp sử dụng Tor có thể bị mất dữ liệu nhạy cảm hoặc gián đoạn dịch vụ. Việc khắc phục sự cố và tăng cường bảo mật đòi hỏi chi phí đáng kể.
Từ ngày 2 đến 5 tháng 10, kẻ tấn công đã xâm nhập 333 exit node Tor bằng cách lợi dụng mật khẩu dùng lại trên máy chủ quản lý và cài đặt backdoor Ebury. Việc này cho phép chúng chuyển hướng lưu lượng SSH và ưu tiên email không mã hóa, có thể dẫn đến tấn công man-in-the-middle.
Theo Tor volunteers, kẻ tấn công đã sử dụng mật khẩu hợp lệ (đã dùng ở nơi khác) để truy cập máy chủ quản lý Tor vào cuối tháng 8. Sau đó, chúng cài đặt Ebury, một backdoor Linux được phát hiện từ 12 năm trước. Kẻ tấn công kết nối từ máy chủ quản lý đến máy chủ Tor khác (Switzerland2) qua SSH bằng khóa RSA không có trong danh sách khóa được phép của Switzerland2. Chúng cài Ebury lên Switzerland2 và thay đổi cấu hình trên hai exit node do Switzerland2 quản lý.
Kẻ tấn công đã chuyển hướng lưu lượng SSH qua Tor đến 12 máy chủ chặn của chúng. Người dùng Tor bỏ qua cảnh báo thay đổi khóa SSH sẽ vô tình cung cấp mật khẩu. Đồng thời, chúng chặn các cổng 25, 465, 587, 993 và 995 (dùng cho email mã hóa) nhưng vẫn cho phép cổng email không mã hóa. Nếu dịch vụ email hạ cấp kết nối, kẻ tấn công có thể lấy được tin nhắn không mã hóa. Kaba, một tình nguyện viên Tor, đã nhận được cảnh báo về thay đổi khóa SSH và phát hiện ra kẻ tấn công đã đánh cắp mật khẩu, kết nối đến máy chủ và cài Ebury.
Hiện vẫn chưa rõ cách kẻ tấn công kiểm soát tất cả các máy chủ. Một giả thuyết là công ty lưu trữ bị tấn công. Động cơ có thể liên quan đến tài chính, do việc thu thập dữ liệu không mã hóa. Tại sao Switzerland2 chấp nhận khóa RSA không được ủy quyền vẫn là một bí ẩn.
Để bảo vệ, nên cấu hình email chỉ chấp nhận kết nối mã hóa và tắt xác thực bằng mật khẩu, thay vào đó dùng SSH key.
Câu hỏi thường gặp
Ebury là gì?
Ebury là một backdoor Linux được phát hiện từ năm 2012. Kẻ tấn công sử dụng Ebury để kiểm soát các exit node Tor và chặn lưu lượng mạng.
Exit node Tor bị xâm nhập ảnh hưởng đến người dùng như thế nào?
Người dùng có thể bị chặn lưu lượng SSH và email không mã hóa. Nếu bỏ qua cảnh báo thay đổi khóa SSH, mật khẩu có thể bị đánh cắp.
Làm thế nào để bảo vệ bản thân?
Nên cấu hình email chỉ chấp nhận kết nối mã hóa và sử dụng SSH key thay vì mật khẩu. Luôn kiểm tra cảnh báo thay đổi khóa SSH.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự việc này cho thấy tầm quan trọng của việc sử dụng mã hóa đầu cuối cho email và SSH key thay vì mật khẩu. Các doanh nghiệp Việt Nam sử dụng Tor để truy cập tài nguyên nhạy cảm cần kiểm tra nhật ký hệ thống để phát hiện các kết nối đáng ngờ. Điều đáng chú ý là việc sử dụng mật khẩu yếu hoặc dùng lại mật khẩu trên nhiều hệ thống tạo ra lỗ hổng bảo mật nghiêm trọng.