Ele geçirilen 300'den fazla Tor çıkış rölesi SSH oturumlarını dinledi

Saldırganlar ekim başında 300'den fazla Tor çıkış rölesini ele geçirerek SSH bağlantılarını araya girip dinledi, parolaları çaldı ve bazı durumlarda kullanıcıların bağlandığı sunuculara Ebury arka kapısını kurdu. The Hacker News'in 21 Ekim'de aktardığına göre "kaba" takma adıyla yayın yapan bir araştırmacı, SSH trafiğini aynı 12 araya girme (interception) sunucusuna yönlendiren 333 çıkış rölesi buldu; Tor Project de etkilenen röleleri 5 Ekim'e kadar ağdan çıkardı. Bu dönemde Tor üzerinden parolayla SSH sunucusuna giriş yapan herkesin kimlik bilgileri açığa çıkmış olabilir.

Neler oldu?

Habere göre saldırganlar Tor rölesi çalıştıran Linux sunuculara erişim sağlayıp torrc yapılandırma dosyalarını değiştirdi. Daha önce SSH'yi engelleyen 342 röle SSH'ye izin vermeye başladı, çıkış rölesi olmayan 24 röle de çıkış rölesine dönüştü. Bir dizin verisi analizi, 1-4 Ekim arasında saldırganın çıkış politikasına geçen 59 operatöre ait 377 röle saydı; bu röleler 4 Ekim'deki zirvede, uzlaşı (consensus) ağırlığına göre Tor çıkış kapasitesinin yüzde 7,46'sını oluşturdu. Analiz, bunun her rölenin ele geçirildiğinin kanıtı değil, politika eşleşmesi olduğunu vurguluyor.

The Hacker News, kampanyanın en az 28 Ağustos'a uzandığını aktarıyor. O gün bir saldırgan, Zimmer adlı operatörün Quetzalcoatl röle ailesinin yönetim sunucusuna operatörün parolasıyla giriş yaptı, dakikalar içinde root yetkisi aldı ve Ebury'yi kurdu. Zimmer yayımladığı olay sonrası değerlendirmede tek bir parolanın SSH, sudo ve yedekler için tekrar kullanıldığını ve düz metin olarak saklandığını açıkladı. Diğer 58 operatörün sunucularına nasıl girildiği ve kampanyanın arkasındaki aktör hâlâ bilinmiyor.

Teknik detaylar

Sahte çıkış röleleri üzerinden 22 numaralı porta bağlanan istemciler bir araya girme sunucusuna yönlendirildi. Bu sunucu yaklaşık bir düzine rölede sahte bir sunucu anahtarı gösterdi, yaklaşık 300 rölede ise trafiği anahtarı değiştirmeden iletti. Anahtarı kabul edip parola yazan kullanıcılar parolalarını saldırgana teslim etti; araya giren sunucu ardından gerçek sunucuya bağlanarak oturumun olağan görünmesini sağladı. Habere göre bu sunucu komutları kaydetti, sudo yetkisini kontrol etti ve uzun süredir bilinen OpenSSH arka kapısı Ebury'nin kurulumuyla eşleşen bir betik çalıştırdı. Anahtar tabanlı girişler gerçek sunucuya aktarılamadı.

Aynı yapılandırma değişikliği şifreli e-posta portlarını engelledi ve rölelerin çoğunda düz metin POP3 ve IMAP'ı açtı.

Kimler etkileniyor?

The Hacker News'e göre 1-5 Ekim arasında Tor üzerinden SSH sunucusuna bağlanıp değişmiş ya da tanımadığı bir sunucu anahtarını kabul eden ve parolayla giriş yapan kullanıcılar risk altında; mağdur sayısı bilinmiyor. Röle operatörleri de etkilenenler arasında. Eski ESET araştırmacısı Marc-Etienne Léveillé, büyük olasılıkla ele geçirilmiş başka röleler de bulunduğu uyarısında bulundu.

Ne yapmalı?

• Bu dönemde Tor üzerinden tanımadığınız bir sunucu anahtarını kabul ettiyseniz parolanızı değiştirin ve sunucuyu Ebury belirtileri açısından inceleyin. Habere göre araya giren sunucunun anahtar parmak izi SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E.
• SSH'de anahtar tabanlı kimlik doğrulamayı tercih edin ve beklenmedik anahtar değişikliklerini asla kabul etmeyin.
• Röle operatörleri Relay Search ve torrc dosyalarında beklenmedik çıkış politikalarını, 22 numaralı porttaki NAT kurallarını, bilinmeyen kullanıcıları, cron görevlerini ve systemd birimlerini kontrol etmeli; ele geçirilen sunucuları yeniden kurup yeni röle kimlikleri oluşturmalı.
• Bulgular Tor Project'in kötü röle ekibine bildirilebilir.