Предупреждение SSH, которое раскрыло 333 узла Tor

2 октября 333 скомпрометированных выходных узла Tor начали перенаправлять SSH-соединения через 12 серверов-перехватчиков, что составляет примерно 10% выходных узлов сети. Хотя это меньшая доля от общей пропускной способности, данная скоординированная кампания фактически превратила значительную часть анонимной сети в оружие.

Ловушка была коварной: обычный веб-трафик проходил без изменений, но SSH-трафик на Port 22 был изменен. Пользователи, пытающиеся установить SSH-соединение, неосознанно направлялись на один из 12 серверов-перехватчиков, что вызывало критическое предупреждение: «Remote host identification has changed».

Многие разработчики, привыкшие игнорировать подобные запросы, вероятно, просто нажимали «продолжить». Но игнорирование этого предупреждения и продолжение аутентификации по паролю приводило к раскрытию их учетных данных, логированию каждой введенной команды и способствовало развертыванию Ebury, бэкдора OpenSSH и похитителя учетных данных, на их серверах.

Само предупреждение является ключевым моментом. Хост-ключи SSH позволяют клиенту проверить личность сервера; несоответствие может сигнализировать о безобидных событиях, таких как легитимная переустановка сервера. Однако это также мощный индикатор активной man-in-the-middle attack. Этот инцидент недвусмысленно показал, что этот запрос никогда не следует воспринимать как рутинный или игнорировать без тщательного расследования.

Злоумышленники подготовили ловушку заранее, скомпрометировав хосты ретрансляторов в августе и установив Ebury, бэкдор для Linux и похититель учетных данных. Затем они изменили политики torrc на 342 ретрансляторах, чтобы явно разрешить порт 22, превратив как минимум 24 невыходных ретранслятора в выходные узлы. Это позволило SSH-трафику выходить через ретрансляторы, которые обычно не должны его передавать, перенаправляя соединения на один из 12 выделенных серверов перехвата SSH.

Когда жертва сталкивалась с предупреждением Remote host identification has changed и принимала подмененный SSH-ключ, последствия были быстрыми и серьезными. Вход в систему с паролем запускал многоуровневую атаку:

• Кража учетных данных
• Комплексный мониторинг команд
• Автоматическая попытка открыть вторую SSH-сессию к целевому серверу и установить Ebury, часто через инсталляторы в кодировке base64 с привилегиями sudo.

Этот инцидент не означает, что Tor шифрует или раскрывает каждое соединение; сеть обеспечивает анонимность маршрутизации, а не сквозную защиту. Tor передает стандартный веб-трафик (порты 80/443) без изменений. Проверка хоста SSH остается критически важной защитой от выходного узла, выдающего себя за целевой сервер — защитой, которую скомпрометированные 333 узла, составляющие 10% выходных узлов Tor и 7,46% от его общей выходной пропускной способности, успешно обошли.

Это предупреждение SSH, «Remote host identification has changed», обычно вызывает лишь пожимание плечами и клик. В этот раз один исследователь, kaba, увидел в этом призыв к действию. Вместо того чтобы игнорировать неожиданный fingerprint, kaba использовал ExitMap, специализированный сканер выходных узлов Tor, для систематического тестирования сети.

Методология kaba была элегантной: установить соединение между двумя контролируемыми серверами, маршрутизируя трафик через каждый выходной узел Tor, и проверить наличие измененных SSH-отпечатков. Этот систематический подход оказался решающим. Он позволил kaba отличить скоординированную широкомасштабную кампанию по перехвату от изолированных переустановок серверов или простых ошибок конфигурации, подтвердив беспрецедентный масштаб атаки. Для тех, кто интересуется сетевым анализом, Exitmap: Fast and Modular Tor Exit Relay Scanner предлагает более глубокое погружение в этот мощный инструмент.

К 4 октября команда по обеспечению работоспособности сети Tor пометила вредоносные узлы как BadExit. К 5 октября они были оперативно удалены из активного сетевого консенсуса. Команда Tor оценила это как беспрецедентную атаку, свидетельствующую о ее сложности, а не как фундаментальный изъян в архитектуре Tor. Инцидент подчеркивает критическую роль независимых исследователей в поддержании целостности сети.

Предупреждение «Remote host identification has changed» — это не предложение, это сигнал тревоги. Когда ключ SSH-хоста меняется, остановитесь. Проверьте новый отпечаток через доверенный внеполосный канал, и только после этого обновляйте файл known_hosts. Никогда не удаляйте старый ключ вслепую и не принимайте замену без подтверждения; именно так злоумышленники Ebury похищали учетные данные.

По возможности отключите аутентификацию SSH по паролю. Аутентификация с использованием открытого ключа значительно снижает риск кражи паролей, но не делает проверку личности хоста необязательной. Надежное управление ключами, желательно с использованием аппаратных модулей безопасности, дополнительно укрепляет вашу защиту, однако скомпрометированный ключ хоста остается критической угрозой.

Операторы должны интегрировать эти уроки в свои рабочие процессы. Немедленно просматривайте журналы неожиданного доступа по SSH и аутентификации. Проверяйте наличие незнакомых процессов или измененных компонентов OpenSSH — Ebury 1.8.3 может действовать скрытно. Исследуйте подозрения на заражение Ebury, используя исследования ESET для поиска индикаторов компрометации, и обратитесь к статье kaba для получения более подробной информации об инциденте.

Эта атака на 333 узла Tor стала суровым напоминанием: безопасность — это цепь, и привычки пользователей часто являются ее самым слабым звеном. Пусть предупреждение SSH станет знаком «Стоп», а не «лежачим полицейским».

Что произошло во время SSH-атаки на Tor?

Злоумышленники использовали скомпрометированные узлы Tor для перенаправления SSH-соединений через серверы перехвата, где они могли красть учетные данные у пользователей, игнорировавших предупреждения о ключе хоста.

Была ли скомпрометирована вся сеть Tor?

Нет. Описанная кампания была направлена на SSH-соединения, в то время как обычный веб-трафик проходил без изменений. Tor не заменяет сквозное шифрование или проверку SSH-хоста.

Что такое Ebury?

Ebury — это семейство бэкдоров для Linux и вредоносного ПО для кражи учетных данных, связанное с вмешательством в OpenSSH и распространением инфекций по серверам.

Как защитить SSH-соединения?

Отклоняйте неожиданные изменения ключа хоста до тех пор, пока они не будут проверены через доверенный канал, используйте SSH-ключи и по возможности отключайте аутентификацию SSH по паролю.

Что такое ExitMap?

ExitMap — это инструмент для сканирования выходных узлов Tor, использованный исследователем kaba для выявления узлов, которые изменяли SSH-соединения.