Una advertencia ignorada abrió la puerta
El 2 de octubre, 333 nodos de salida (exit relays) de Tor comprometidos comenzaron a redirigir conexiones SSH a través de 12 servidores de interceptación, lo que representa aproximadamente el 10% de los nodos de salida de la red. Aunque es una parte menor de su ancho de banda total, esta campaña coordinada convirtió efectivamente en arma a una parte significativa de la red de anonimato.
La trampa fue insidiosa: el tráfico web normal pasaba sin ser tocado, pero el tráfico SSH en el Port 22 era alterado. Los usuarios que intentaban una conexión SSH eran redirigidos sin saberlo a uno de los 12 servidores de interceptación, lo que activaba una advertencia crítica: “Remote host identification has changed”.
Muchos desarrolladores, acostumbrados a descartar tales avisos, probablemente hicieron clic para continuar. Pero ignorar esta alerta y proceder con la autenticación mediante contraseña expuso sus credenciales, registró cada comando escrito y facilitó el despliegue de Ebury, una puerta trasera (backdoor) de OpenSSH y ladrón de credenciales, en sus servidores.
La advertencia en sí misma es la pieza clave. Las claves de host SSH permiten a un cliente verificar la identidad de un servidor; una discrepancia puede indicar eventos benignos, como una reconstrucción legítima del servidor. Sin embargo, es un indicador igualmente potente de un man-in-the-middle attack activo. Este incidente demostró inequívocamente que este aviso nunca debe tratarse como rutinario ni ignorarse sin una investigación rigurosa.
Cómo se extendió la trampa de los nodos más allá de Tor
Los atacantes tendieron su trampa con mucha antelación, comprometiendo hosts de nodos en agosto e instalando Ebury, una puerta trasera de Linux y ladrón de credenciales. Luego modificaron las políticas torrc en 342 nodos para permitir explícitamente el puerto 22, convirtiendo al menos 24 nodos que no eran de salida en nodos de salida. Esto permitió que el tráfico SSH saliera a través de nodos que normalmente no lo transportarían, redirigiendo las conexiones a uno de los 12 servidores dedicados a la interceptación de SSH.
Cuando una víctima se encontraba con la advertencia Remote host identification has changed y aceptaba la clave SSH sustituida, las consecuencias eran rápidas y graves. Iniciar sesión con una contraseña desencadenaba un ataque multifacético:
- Robo de credenciales
- Monitoreo integral de comandos
- Un intento automatizado de abrir una segunda sesión SSH al servidor de destino e instalar Ebury, a menudo mediante instaladores codificados en base64 con privilegios de
sudo.
Este incidente no implicó que Tor cifrara o expusiera cada conexión; la red proporciona anonimato de enrutamiento, no protección de extremo a extremo. Tor enruta el tráfico web estándar (puertos 80/443) sin tocarlo. La verificación de host SSH sigue siendo la salvaguarda crítica contra un nodo de salida que suplanta al destino, una defensa que los 333 nodos comprometidos —que representan el 10% de los nodos de salida de Tor y el 7.46% de su ancho de banda de salida total— lograron subvertir.
La discrepancia de huella digital (fingerprint) que expuso 333 nodos
Esa advertencia de SSH, "Remote host identification has changed", generalmente recibe un encogimiento de hombros y un clic. Esta vez, un investigador, kaba, lo vio como un llamado a la acción. En lugar de descartar la fingerprint inesperada, kaba aprovechó ExitMap, un escáner especializado de nodos de salida de Tor, para probar sistemáticamente la red.
La metodología de kaba fue elegante: conectar entre dos servidores controlados, enrutar el tráfico a través de cada nodo de salida de Tor y verificar si había huellas dactilares SSH alteradas. Este enfoque sistemático resultó fundamental. Permitió a kaba distinguir una campaña de interceptación coordinada y generalizada de reconstrucciones de servidores aisladas o simples errores de configuración, confirmando la escala sin precedentes del ataque. Para aquellos interesados en el análisis de redes, Exitmap: Fast and Modular Tor Exit Relay Scanner ofrece una visión más profunda de esta poderosa herramienta.
Para el 4 de octubre, el equipo de salud de la red de Tor había marcado los nodos maliciosos como BadExit. Fueron eliminados rápidamente del consenso activo de la red para el 5 de octubre. El equipo de Tor evaluó esto como un ataque sin precedentes, un testimonio de su sofisticación, más que una falla fundamental en la arquitectura de Tor. El incidente destaca el papel fundamental que desempeñan los investigadores independientes en el mantenimiento de la integridad de la red.
¿Te está gustando? Recibe uno así en tu bandeja cada mañana.
un correo al día · date de baja en dos clics · sin rastreadores de terceros
Haz que las advertencias de SSH sean una señal de alto, no un reductor de velocidad
Esa advertencia de "Remote host identification has changed" no es una sugerencia; es una alarma. Cuando una clave de host SSH cambia, detente. Verifica la nueva huella dactilar a través de un canal fuera de banda en el que confíes, y solo entonces, actualiza tu archivo known_hosts. Nunca elimines ciegamente la clave antigua ni aceptes un reemplazo sin confirmación; así es exactamente como los atacantes de Ebury robaron credenciales.
Deshabilita la autenticación SSH basada en contraseña siempre que sea posible. La autenticación de clave pública reduce significativamente el riesgo de robo de contraseñas, pero no hace que las comprobaciones de identidad del host sean opcionales. Una gestión sólida de claves, idealmente con módulos de seguridad de hardware, refuerza aún más tu postura, aunque una clave de host comprometida sigue siendo una amenaza crítica.
Los operadores deben integrar estas lecciones en sus flujos de trabajo. Revisa inmediatamente los registros de acceso y autenticación SSH inesperados. Busca procesos desconocidos o componentes de OpenSSH modificados; Ebury 1.8.3 puede ser sigiloso. Investiga las sospechas de infecciones por Ebury utilizando la investigación de ESET para obtener indicadores de compromiso y consulta el informe de kaba para obtener detalles más profundos sobre el incidente.
Este ataque a 333 nodos de Tor fue un claro recordatorio: la seguridad es una cadena y los hábitos de los usuarios suelen ser su eslabón más débil. Haz que esa advertencia de SSH sea una señal de alto, no un reductor de velocidad.
Preguntas frecuentes
¿Qué sucedió en el ataque SSH a Tor?
Los atacantes utilizaron nodos de Tor comprometidos para redirigir las conexiones SSH a través de servidores de interceptación, donde pudieron robar credenciales de usuarios que ignoraron las advertencias de clave de host.
¿El ataque comprometió todo el tráfico de Tor?
No. La campaña reportada se dirigió a las conexiones SSH, mientras que el tráfico web ordinario pasó sin problemas. Tor no reemplaza el cifrado de extremo a extremo ni la verificación de host SSH.
¿Qué es Ebury?
Ebury es una familia de malware de puerta trasera de Linux y robo de credenciales asociada con la manipulación de OpenSSH y la propagación de infecciones a través de servidores.
¿Cómo puedo proteger las conexiones SSH?
Rechaza los cambios inesperados de clave de host hasta que se verifiquen a través de un canal confiable, usa claves SSH y deshabilita la autenticación SSH basada en contraseña donde sea posible.
¿Qué es ExitMap?
ExitMap es una herramienta para escanear nodos de salida de Tor, utilizada por el investigador kaba para identificar nodos que alteraron las conexiones SSH.