Una recente e complessa operazione malevola ha visto il dirottamento di 333 nodi di uscita Tor per intercettare connessioni SSH, rubare password e installare la backdoor Ebury. L'attacco, durato pochi giorni, è stato identificato e mitigato dal Tor Project.
Una campagna di attacco di notevole sofisticazione ha recentemente preso di mira l'infrastruttura della rete Tor, compromettendo un numero significativo di nodi di uscita. Secondo le analisi, 333 di questi nodi sono stati sfruttati per intercettare connessioni SSH (Secure Shell), con l'obiettivo primario di rubare credenziali di accesso e distribuire una backdoor Linux nota come Ebury. La scoperta, inizialmente effettuata da un ricercatore indipendente e successivamente confermata da analisi più ampie, ha messo in luce una minaccia che ha operato in modo furtivo per un periodo limitato ma potenzialmente dannoso.
L'operazione malevola ha avuto inizio con la compromissione dei server sottostanti ai nodi interessati, presumibilmente nel mese di agosto. Tuttavia, la fase attiva di attacco è stata lanciata in modo coordinato il 2 ottobre. I malintenzionati hanno manipolato le configurazioni dei nodi di uscita, modificando le loro exit policy per consentire il traffico sulla porta TCP 22, comunemente utilizzata per le connessioni SSH, che in precedenza era spesso bloccata. Questo ha permesso loro di reindirizzare le connessioni SSH destinate a server legittimi verso server controllati dagli attaccanti. È importante sottolineare che il traffico web criptato non è stato direttamente compromesso, rendendo l'attività più difficile da rilevare per gli utenti finali.
Il metodo esatto utilizzato dagli attaccanti per ottenere l'accesso iniziale ai server rimane oggetto di indagine, sebbene alcune ipotesi puntino a una possibile compromissione di un provider di hosting, senza tuttavia conferme ufficiali.
La tecnica principale impiegata consisteva nel reindirizzare le connessioni SSH. Quando un utente tentava di stabilire una connessione SSH attraverso un nodo di uscita compromesso, la richiesta veniva intercettata e deviata verso uno dei dodici server malevoli identificati. Questi server agivano come intermediari in una sessione man-in-the-middle. Presentavano all'utente la propria host key (chiave host), che poteva essere nuova o differire da quella del server di destinazione originale. Un utente che aveva già memorizzato la chiave del server legittimo riceveva un avviso di sicurezza standard di OpenSSH: "REMOTE HOST IDENTIFICATION HAS CHANGED". Ignorare questo avviso e procedere con l'autenticazione, specialmente inserendo una password, esponeva l'utente al furto delle proprie credenziali.
Le analisi indicano che le connessioni basate su chiavi SSH non potevano essere sfruttate in questo modo, poiché la firma della chiave è legata alla sessione specifica e non sarebbe stata valida per il server reale. Tuttavia, le password, trasmesse all'interno della sessione crittografata, potevano essere lette dall'intermediario. Una volta ottenuta la password, l'attaccante poteva connettersi al server di destinazione legittimo, mantenendo la visibilità sulla sessione e registrando ogni comando eseguito.
Il payload distribuito è stato identificato come Ebury 1.8.3, una backdoor per sistemi Linux progettata per esfiltrare credenziali e fornire accesso remoto non autorizzato. Le analisi hanno rivelato che gli attaccanti utilizzavano librerie come Paramiko (Python) e tentavano installazioni in Perl. Prima di eseguire il payload malevolo, venivano eseguiti controlli sull'ID utente, la disponibilità dei privilegi di sudo e la possibilità di elevare i permessi senza richiedere una password. Successivamente, veniva decodificato un payload in formato Base64 e poi eseguito.
Oltre a reindirizzare il traffico SSH, gli attaccanti hanno modificato le policy di uscita di molti nodi per chiudere le porte per la posta elettronica crittografata (IMAPS e POP3S) e, nella maggior parte dei casi, aprire quelle per la posta in chiaro (POP3 e IMAP). Le ragioni precise di questa modifica rimangono poco chiare.
Il ricercatore, che opera sotto lo pseudonimo di "kaba", ha sviluppato uno strumento di scansione chiamato exitmap per identificare i nodi compromessi. Testando individualmente circa 3.000 nodi di uscita, ha scoperto 333 nodi che reindirizzavano il traffico SSH verso gli stessi 12 server di intercettazione. Ulteriori analisi dei dati pubblici dei relè Tor hanno indicato che, al picco dell'attacco il 4 ottobre, i relè che trasportavano la politica di uscita dell'attaccante costituivano il 7,46% della capacità di uscita di Tor.
Il Tor Project è stato informato dell'incidente il 2 ottobre. Entro il 4 ottobre, gli operatori dei nodi interessati sono stati avvisati e ai relè compromessi è stato assegnato il flag BadExit, impedendo loro di essere utilizzati per il traffico di uscita. Nonostante i tentativi degli attaccanti di riavviare molti nodi il 5 ottobre, i flag esistenti li hanno limitati a operare come nodi intermedi. Nello stesso giorno, tutti i server infetti identificati sono stati dismessi. È emerso anche che gli attaccanti avevano modificato le configurazioni di Tor per trasformare nodi non di uscita compromessi in nodi di uscita, modificando il file torrc.
Per essere esposti a questo attacco, un utente doveva connettersi a un server SSH tramite Tor tra il 1° e il 5 ottobre, atterrare su uno dei nodi di uscita dirottati, accettare la chiave host dell'intermediario e autenticarsi con una password. Il numero esatto di vittime non è noto.
Chiunque abbia accettato una chiave host sconosciuta o modificata su Tor in quel periodo dovrebbe considerare la propria password come compromessa, cambiarla immediatamente e verificare il server interessato per segni di infezione da Ebury.
Le raccomandazioni chiave emerse da questa vicenda includono la disattivazione dell'autenticazione tramite password per SSH, privilegiando l'uso di chiavi SSH più sicure, e la gestione dei nodi di uscita come sistemi di produzione ad alto rischio, con monitoraggio costante. L'attribuzione dell'attacco rimane incerta, poiché la presenza della backdoor Ebury non è sufficiente a identificare con certezza il gruppo responsabile o le modalità precise di compromissione iniziale dei server.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
