무시된 하나의 경고가 문을 열었습니다
10월 2일, 333개의 손상된 Tor exit relay가 12개의 가로채기 서버를 통해 SSH 연결을 리디렉션하기 시작했으며, 이는 네트워크 exit relay의 약 10%에 해당합니다. 전체 대역폭에서 차지하는 비중은 작지만, 이 조직적인 캠페인은 익명성 네트워크의 상당 부분을 효과적으로 무기화했습니다.
함정은 교묘했습니다. 일반적인 웹 트래픽은 그대로 통과했지만, Port 22의 SSH 트래픽은 변조되었습니다. SSH 연결을 시도하는 사용자들은 자신도 모르게 12개의 가로채기 서버 중 하나로 유도되었으며, "Remote host identification has changed"라는 치명적인 경고를 발생시켰습니다.
이러한 메시지를 무시하는 데 익숙한 많은 개발자들은 아마도 클릭하여 넘어갔을 것입니다. 그러나 이 경고를 무시하고 비밀번호 인증을 진행하면 자격 증명이 노출되고, 입력된 모든 명령이 기록되며, 서버에 OpenSSH 백도어이자 자격 증명 탈취 도구인 Ebury가 배포되는 결과를 초래했습니다.
경고 그 자체가 핵심입니다. SSH 호스트 키를 통해 클라이언트는 서버의 신원을 확인할 수 있습니다. 불일치는 합법적인 서버 재구축과 같은 무해한 이벤트를 의미할 수도 있지만, 활발한 man-in-the-middle attack을 나타내는 강력한 지표이기도 합니다. 이 사건은 이 프롬프트를 결코 일상적인 것으로 취급하거나 철저한 조사 없이 클릭해서는 안 된다는 점을 명확히 보여주었습니다.
릴레이 함정이 Tor를 넘어 확산된 방법
공격자들은 8월부터 릴레이 호스트를 손상시키고 Linux 백도어이자 자격 증명 탈취 도구인 Ebury를 설치하며 사전에 함정을 준비했습니다. 그 후 342개 릴레이의 torrc 정책을 수정하여 포트 22를 명시적으로 허용하도록 했고, 최소 24개의 비 exit relay를 exit node로 전환했습니다. 이를 통해 평소에는 SSH 트래픽을 처리하지 않는 릴레이를 통해 SSH 트래픽이 나가도록 하여 연결을 12개의 전용 SSH 가로채기 서버 중 하나로 우회시켰습니다.
피해자가 Remote host identification has changed 경고를 마주하고 대체된 SSH 키를 수락했을 때, 그 결과는 신속하고 치명적이었습니다. 비밀번호로 로그인하면 다음과 같은 다각적인 공격이 시작되었습니다:
- 자격 증명 탈취
- 포괄적인 명령 모니터링
- 대상 서버로 두 번째 SSH 세션을 열고
sudo권한을 사용하여 base64로 인코딩된 설치 프로그램을 통해 Ebury를 설치하려는 자동화된 시도.
이 사건은 Tor가 모든 연결을 암호화하거나 노출했다는 것을 의미하지는 않습니다. 네트워크는 라우팅 익명성을 제공할 뿐 종단 간 보호를 제공하지는 않습니다. Tor는 표준 웹 트래픽(포트 80/443)을 그대로 라우팅합니다. SSH 호스트 검증은 exit relay가 목적지를 사칭하는 것을 막는 중요한 방어 수단으로 남아 있으며, Tor의 exit node 중 10%, 전체 exit 대역폭의 7.46%를 차지하는 333개의 손상된 릴레이는 이러한 방어 체계를 무력화했습니다.
333개의 릴레이를 노출시킨 지문(fingerprint) 불일치
그 SSH 경고인 "Remote host identification has changed"는 보통 대수롭지 않게 넘기기 마련입니다. 이번에는 kaba라는 한 연구원이 이를 행동을 촉구하는 신호로 받아들였습니다. 예상치 못한 fingerprint를 무시하는 대신, kaba는 특수 Tor exit relay 스캐너인 ExitMap을 활용하여 네트워크를 체계적으로 테스트했습니다.
Kaba의 방법론은 우아했습니다. 두 개의 제어된 서버를 연결하고, 각 Tor exit relay를 통해 트래픽을 라우팅한 뒤, 변경된 SSH 지문을 확인하는 방식이었습니다. 이 체계적인 접근 방식은 매우 중요했습니다. 이를 통해 kaba는 조직적이고 광범위한 가로채기 캠페인과 개별 서버 재구축 또는 단순한 설정 오류를 구분할 수 있었으며, 공격의 전례 없는 규모를 확인했습니다. 네트워크 분석에 관심이 있는 분들은 Exitmap: Fast and Modular Tor Exit Relay Scanner를 통해 이 강력한 도구에 대해 더 깊이 알아보시기 바랍니다.
10월 4일까지 Tor의 네트워크 상태 팀은 악성 릴레이를 BadExit으로 표시했습니다. 이들은 10월 5일까지 활성 네트워크 컨센서스에서 신속하게 제거되었습니다. Tor 팀은 이번 사건을 Tor 아키텍처의 근본적인 결함이 아닌, 공격의 정교함을 보여주는 전례 없는 공격으로 평가했습니다. 이번 사건은 네트워크 무결성을 유지하는 데 있어 독립적인 연구자들이 수행하는 중요한 역할을 강조합니다.
이 글이 마음에 드셨나요? 매일 아침 이런 글을 메일로 받아보세요.
하루 한 통 · 두 번의 클릭으로 구독 취소 · 제3자 추적 없음
SSH 경고를 속도 방지턱이 아닌 정지 신호로 만드십시오
"Remote host identification has changed" 경고는 제안이 아니라 경보입니다. SSH 호스트 키가 변경되면 즉시 멈추십시오. 신뢰할 수 있는 대역 외 채널을 통해 새로운 지문을 확인한 후에만 known_hosts 파일을 업데이트하십시오. 확인 없이 무작정 이전 키를 삭제하거나 교체를 수락하지 마십시오. 그것이 바로 Ebury 공격자들이 자격 증명을 탈취한 방식입니다.
가능한 모든 곳에서 비밀번호 기반 SSH 인증을 비활성화하십시오. 공개 키 인증은 비밀번호 도난 위험을 크게 줄여주지만, 호스트 ID 확인을 선택 사항으로 만들지는 않습니다. 하드웨어 보안 모듈을 사용하는 등 강력한 키 관리는 보안 태세를 더욱 강화하지만, 손상된 호스트 키는 여전히 치명적인 위협으로 남습니다.
운영자는 이러한 교훈을 워크플로우에 통합해야 합니다. 예상치 못한 SSH 액세스 및 인증 로그를 즉시 검토하십시오. 익숙하지 않은 프로세스나 수정된 OpenSSH 구성 요소가 있는지 확인하십시오. Ebury 1.8.3은 은밀하게 작동할 수 있습니다. ESET의 연구를 사용하여 침해 지표를 확인하고 의심되는 Ebury 감염을 조사하며, 더 자세한 사고 내용은 kaba의 보고서를 참조하십시오.
이번 333개의 Tor 노드에 대한 공격은 보안은 하나의 사슬이며, 사용자의 습관이 종종 가장 약한 고리가 된다는 사실을 극명하게 상기시켜 주었습니다. SSH 경고를 속도 방지턱이 아닌 정지 신호로 만드십시오.
자주 묻는 질문(FAQ)
Tor SSH 공격에서 무슨 일이 있었나요?
공격자들은 손상된 Tor 릴레이를 사용하여 SSH 연결을 가로채기 서버로 리디렉션했으며, 그곳에서 호스트 키 경고를 무시한 사용자들의 자격 증명을 탈취했습니다.
공격이 모든 Tor 트래픽을 손상시켰나요?
아니요. 보고된 캠페인은 SSH 연결을 표적으로 삼았으며, 일반적인 웹 트래픽은 그대로 통과되었습니다. Tor는 종단 간 암호화나 SSH 호스트 확인을 대체하지 않습니다.
Ebury란 무엇인가요?
Ebury는 OpenSSH 변조 및 서버 간 감염 확산과 관련된 Linux 백도어이자 자격 증명 탈취 멀웨어 제품군입니다.
SSH 연결을 어떻게 보호할 수 있나요?
신뢰할 수 있는 채널을 통해 확인될 때까지 예상치 못한 호스트 키 변경을 거부하고, SSH 키를 사용하며, 가능한 경우 비밀번호 기반 SSH 인증을 비활성화하십시오.
ExitMap이란 무엇인가요?
ExitMap은 Tor exit relay를 스캔하는 도구로, 연구원 kaba가 SSH 연결을 변경한 릴레이를 식별하는 데 사용했습니다.