گزارش‌های اخیر نشان می‌دهد که مهاجمان ناشناسی بیش از ۳۰۰ گره خروجی (Exit Node) شبکه Tor را تصاحب کرده و آن‌ها را برای هدایت ترافیک ایمیل‌های رمزنگاری‌نشده و منحرف کردن اتصالات SSH به سرورهای تحت کنترل خود بازپیکربندی کرده‌اند.
جزئیات فنی زنجیره حمله
این عملیات از اواخر ماه اوت آغاز شد. بر اساس یافته‌های داوطلبان Tor، مهاجم ابتدا با استفاده از یک رمز عبور تکراری (Password Reuse)، به یک سرور مدیریت Tor دسترسی پیدا کرد. در این مرحله، مهاجم بدافزار Ebury را نصب کرد؛ یک بک‌دور (Backdoor) مخصوص لینوکس که حدود ۱۲ سال پیش شناسایی شده بود.
سپس مهاجم از طریق پروتکل SSH و با استفاده از یک کلید RSA، از سرور مدیریت به سرور دوم Tor به نام Switzerland2 متصل شد. نکته عجیب این است که بازرسان نتوانستند این کلید RSA را در لیست کلیدهای مجاز (Authorized Keys) سرور Switzerland2 پیدا کنند. پس از به‌دست آوردن دسترسی مدیریتی بر این سرور، مهاجم بدافزار Ebury را در آنجا نیز نصب کرده و تنظیمات دو گره خروجی میزبانی شده توسط Switzerland2 را تغییر داد.
مکانیسم شنود SSH و ایمیل
در نهایت، ۳۳۳ رله خروجی در این کمپین شنود درگیر شدند. مهاجمان سرورها را به گونه‌ای پیکربندی کردند که:
- ترافیک SSH: تمام ترافیک SSH که از طریق Tor عبور می‌کرد، به یکی از ۱۲ سرور واسط (Interceptor Servers) تحت کنترل مهاجم منحرف می‌شد. کاربرانی که هشدار تغییر کلید میزبان (Host Key) را نادیده می‌گرفتند، رمزهای عبور SSH خود را مستقیماً در اختیار مهاجم قرار می‌دادند.
- ترافیک ایمیل: گره‌های خروجی را به گونه‌ای تنظیم کردند که پورت‌های رمزنگاری شده ایمیل (مانند ۲۵، ۴۶۵، ۵۸۷، ۹۹۳ و ۹۹۵) را مسدود کرده اما پورت‌های مربوط به ایمیل‌های بدون رمزنگاری را باز نگه دارند. در صورتی که سرویس ایمیل برای برقراری ارتباط، سطح امنیت را کاهش می‌داد (Downgrade)، مهاجمان می‌توانستند پیام‌ها را به صورت متن ساده (Plaintext) بخوانند.
تحلیل و شناسایی
یکی از داوطلبان Tor با نام Kaba، برای شناسایی ابعاد این حمله، اسکریپتی را طراحی کرد که تقریباً ۳,۰۰۰ گره خروجی Tor را بررسی می‌کرد تا ببیند آیا اثر انگشت (Fingerprint) صحیح SSH را از یک سرور تست دریافت می‌کنند یا خیر. او همچنین یک هانی‌پات (Honeypot) راه‌اندازی کرد تا نحوه تلاش نرم‌افزار شنود برای ورود و نصب Ebury را مشاهده کند.
بررسی‌ها نشان داد که در صورت نادیده گرفتن هشدار SSH توسط کاربر، مهاجم سه اقدام انجام می‌داد: ۱. سرقت رمز عبور SSH، ۲. مشاهده تمامی دستورات تایپ شده در نشست، و ۳. باز کردن یک اتصال ثانویه برای آلوده کردن سرور هدف به بدافزار Ebury.
نتیجه‌گیری و توصیه‌های امنیتی
اگرچه هنوز هویت دقیق مهاجمان مشخص نیست، اما استفاده از Ebury و تمرکز بر جمع‌آوری داده‌های رمزنگاری‌نشده، احتمال فعالیت یک گروه جنایی با انگیزه‌های مالی را تقویت می‌کند. این حادثه اهمیت استراتژی دفاع در عمق (Defense-in-Depth) را برجسته می‌کند. توصیه می‌شود:
- حساب‌های ایمیل تنها برای پذیرش ترافیک رمزنگاری شده پیکربندی شوند و پورت‌های بدون رمزنگاری مسدود گردند.
- احراز هویت مبتنی بر رمز عبور در SSH غیرفعال شده و از کلیدهای SSH (SSH Keys) استفاده شود.
