Tor ağındaki 330'dan fazla zararlı çıkış düğümü kaldırıldı
Öne çıkanlar
- Saldırganlar Tor ağındaki yaklaşık 3 bin çıkış düğümünün yüzde 10'una denk gelen 333 sunucuyu ele geçirdi.
- Zararlı yazılımla ele geçirilen düğümler, SSH bağlantılarını 12 gizli araya girme sunucusuna yönlendirdi.
- Tor ekibi tüm enfekte düğümleri BadExit olarak işaretledi ve sunucular ağdan tamamen çıkarıldı.
Tor ağında aktif olan yaklaşık 3 bin çıkış düğümünün yüzde 10'unu kontrol altına alan saldırganlar, şifrelenmemiş e-posta trafiğini toplamak ve SSH bağlantılarını ele geçirmek amacıyla koordineli bir saldırı başlattı. Ağdaki 333 çıkış düğümünü etkileyen operasyonda, Linux tabanlı sunuculara daha önce yerleştirilen Ebury 1.8.3 adlı OpenSSH arka kapısı kullanıldı. 22 numaralı port üzerinden yapılan SSH trafiği fark ettirilmeden 12 farklı araya girme sunucusuna yönlendirildi.
Bir güvenlik araştırmacısı kendi SSH bağlantısının yönlendirildiğini ve sunucu kimlik doğrulama anahtarının değiştiğini fark ederek durumu Tor Projesi ağ sağlığı ekibine bildirdi. Araştırmacı geliştirdiği bir betikle tüm çıkış düğümlerini tarayarak sahte parmak izi sunan ve trafiği araya girme sunucularına aktaran yüzlerce düğümü tespit etti. Saldırganların MITM yöntemiyle kullanıcı parolalarını çaldığı, oturum komutlarını izlediği ve bağlandıkları sunuculara Ebury zararlısını yüklediği belirlendi.
Tor Projesi ağ sağlığı ekibi etkilenen sunucuları BadExit olarak işaretleyerek trafiği kesti ve düğüm işletmecileriyle temasa geçti. Operatörlerin ve saldırganların müdahaleleri sonucunda zararlı çıkış noktalarının tamamı kapatıldı ve Tor ağının toplam çıkış kapasitesinde belirgin bir düşüş kaydedildi. Saldırganların sistemlere ilk erişimi nasıl sağladığı henüz kesinleşmedi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.