Įsilaužėliai užvaldė 333 Tor išeities mazgus, kad nukreiptų SSH ir nešifruotą el. pašto srautą

Vaizdas: Ars Technica · Šaltinis

2026 metų spalio mėnesį per tris dienas užpuolikai užvaldė 333 Tor išeities mazgus, peradresuodami SSH jungtis į kenksmingus serverius ir leisdami perimti nešifruotas el. pašto žinutes, išnaudodami stiprią slaptažodžių pakartotinio naudojimo ir serverių saugumo spragas, teigia tyrėjai.

2026 metų spalio pradžioje didelio masto saugumo pažeidimas paveikė Tor tinklą — nežinomi užpuolikai per tris dienas užvaldė 333 Tor išeities mazgus. Užpuolikai manipuliavo šiais mazgais, siekdami perimti SSH srautą ir užfiksuoti nešifruotas el. pašto komunikacijas, kaip aprašė savanoris Tor tinkle, žinomas kaip Kaba, ir pranešė Ars Technica.

Pirminis pažeidimas prasidėjo rugpjūčio pabaigoje, kai užpuolikai pasiekė Tor valdymo serverį, naudodamiesi galiojančiu, pakartotinai naudotu slaptažodžiu. Jie įdiegė Linux atgalinį durų kenkėją Ebury, kuris buvo atrastas daugiau nei prieš dešimtmetį ir leidžia išlaikyti nuolatinę kontrolę. Iš šio valdymo serverio jie prisijungė per SSH prie kito Tor serverio - Switzerland2, naudodami RSA raktą, kurio autorizacijos statusas lieka nepaaiškintas. Kontrolė prieš Switzerland2 leido įdiegti Ebury ir pakeisti konfigūracijas dviejuose išeities mazguose, kuriuos prižiūrėjo šis serveris.

Galų gale buvo pakeisti 333 išeities relė serveriai. Užpuolikai perkonstravo šiuos mazgus taip, kad SSH jungtys per 22 prievadą būtų nukreiptos į vieną iš dvylikos užpuolikų kontroliuojamų serverių. Vartotojai, nepaisę SSH šeimininko rakto pakeitimo įspėjimų, netyčia atskleidė savo slaptažodžius. Tai leido užpuolikams sugauti prisijungimo duomenis, stebėti visas įvestas komandas bei vėliau užkrėsti taikinius serverius Ebury atgaliniame dure.

Be to, pažeisti išeities mazgai blokavo užšifruoto el. pašto prievadus (25, 465, 587, 993 ir 995), toleruodami tik nešifruotą pašto srautą. Tokiu būdu buvo bandyta priversti el. pašto paslaugas apsiriboti nešifruotomis jungtimis, kas leistų užpuolikams potencialiai pasiekti nešifruotas žinutes. Tačiau nėra aišku, ar tokie duomenų depogardavimai įvyko sėkmingai.

Kaba sukūrė įrankius tinklui stebėti, periodiškai tikrindamas apie 3 000 Tor išeities mazgų, kad aptiktų pakeistus SSH pirštų atspaudus, taip pat įdiegė medžiotojų sistemą (honeypot), kuri fiksavo užpuolikų bandymus prisijungti ir diegti įrankius. Nepaisant šių pastangų, išlieka nemažai atvirų klausimų: tikslus plačių užpuolimo prieigų būdas nežinomas, kaip ir motyvacija leidus Switzerland2 serveriui priimti neautorizuotą RSA raktą. Atsekamumas taip pat neaiškus, nors Ebury panaudojimas bei nešifruotų duomenų pavertimas rodo finansinį nusikalstamą grupuotę.

Šis incidentas atskleidžia svarbias saugumo pamokas Tor vartotojams ir operatoriams. Būtina naudoti stiprius slaptažodžius ir išjungti SSH autentifikaciją slaptažodžiais, pirmenybę teikiant saugesniems SSH raktams. El. pašto tiekėjai ir vartotojai turėtų konfigūruoti sistemas taip, kad būtų atmestos nešifruotos jungtys, siekiant apsisaugoti nuo duomenų perėmimo. Įvykis pabrėžia gilesnės, gynybos principus ir svarbą kovoti su plačios apimties tinklo pažeidimais ir saugoti jautrą komunikaciją anonimiškumo tinkluose, tokiuose kaip Tor.