333 выходных узла Tor захватили, чтобы красть SSH-пароли и почту

Неизвестные злоумышленники незаметно превратили сотни выходных узлов Tor в ловушку для SSH-подключений и почты — об этом говорится в отчёте волонтёра Tor, который пересказывает Ars Technica. В течение трёх дней, со 2 по 5 октября, 333 выходных ретранслятора были перенастроены так, чтобы перехватывать трафик перед выходом из анонимной сети.

Как злоумышленники проникли

По словам волонтёров Tor, кампания началась в конце августа: кто-то вошёл на управляющий сервер Tor с действующим, но повторно использованным паролем и установил Ebury — бэкдор для Linux, известный уже около 12 лет. Оттуда атакующий по SSH добрался до второго сервера, Switzerland2, с помощью RSA-ключа, которого следователи не нашли среди разрешённых ключей этого сервера, снова установил Ebury и изменил настройки размещённых на нём выходных узлов.

Как именно злоумышленник получил контроль над всеми 333 узлами, до сих пор неизвестно. Одна из версий — взлом хостинг-компании, но, по данным Ars, подтверждений этому нет.

Что делали захваченные узлы

Внутри сети Tor трафик зашифрован, но выходной узел передаёт его в открытый интернет, поэтому всё, что не имеет сквозного шифрования, там видно. Злоумышленники воспользовались этим двумя способами:

• Перенаправление SSH. Соединения на порт 22 незаметно уходили на один из 12 серверов-перехватчиков. Пользователи видели предупреждение SSH «remote host identification has changed». Кто его игнорировал, мог отдать пароль; волонтёр выяснил, что затем атакующий наблюдал за вводимыми командами и устанавливал Ebury на целевой сервер.
• Откат почты к незашифрованному режиму. Узлы блокировали порты 25, 465, 587, 993 и 995, через которые идут зашифрованные почтовые соединения, но пропускали порты для почты открытым текстом. Если бы почтовый клиент или сервис перешёл на незашифрованное соединение, атакующий мог бы прочитать письма. Удалась ли хоть одна такая попытка, неизвестно.

Обычный HTTPS-трафик пропускался как обычно, поэтому кампанию было легко не заметить.

Как её обнаружили

Волонтёр под псевдонимом Kaba сам попал на перенаправление при SSH-подключении. Затем волонтёр написал скрипт, который проверил около 3000 выходных узлов Tor на тестовом сервере с известным SSH-отпечатком, и запустил ханипот, чтобы наблюдать, как программа-перехватчик пытается войти и установить бэкдор. Kaba предполагает, что массовый сбор незашифрованных данных указывает на финансово мотивированную группировку, но подчёркивает, что это лишь догадка.

Что делать вам

Отказываться от Tor не обязательно, но стоит помнить: выходной узел — это недоверенная сеть, как публичный Wi‑Fi.

• Никогда не принимайте неожиданную смену ключа SSH-хоста. Сначала сверьте отпечаток по другому каналу.
• Используйте SSH-ключи и отключите вход по паролю на своих серверах, чтобы одного украденного пароля было недостаточно.
• Требуйте шифрование почты: настройте клиенты на обязательный TLS без отката к открытому тексту.
• Обновляйте и проверяйте серверы. Свежие уязвимости вроде PHP2Shell показывают, как быстро атакуют открытые системы.

Как утекают метаданные, даже когда само содержимое защищено, мы разбирали в материале о ссылках Meta и пассивном DNS.