Onbekende aanvallers hebben 333 Tor-exitnodes gemanipuleerd om internetverkeer te onderscheppen. De aangepaste servers stuurden SSH-verbindingen door naar systemen van de aanvallers en blokkeerden poorten voor versleutelde e-mail. De operatie duurde drie dagen.
De aanval begon eind augustus met toegang tot een Tor-managementserver. Daarvoor gebruikten de aanvallers een geldig wachtwoord dat op meerdere plaatsen was hergebruikt. Vervolgens installeerden zij Ebury, een backdoor voor Linux die al twaalf jaar bekend is.
SSH-verkeer omgeleid
Vanaf de managementserver maakten de aanvallers via SSH verbinding met een tweede Tor-server, met de naam Switzerland2. Daarbij gebruikten ze een RSA-sleutel die niet werd aangetroffen tussen de sleutels die officieel toegang hadden tot de server. Hoe die sleutel kon worden gebruikt, is niet opgehelderd.
Na het verkrijgen van beheerdersrechten op Switzerland2 installeerden de aanvallers daar eveneens Ebury. Ook pasten zij de instellingen aan van twee exitnodes die door die server werden beheerd. Uiteindelijk raakten 333 exitrelays betrokken bij de campagne, al is nog niet vastgesteld hoe de aanvallers toegang kregen tot alle achterliggende servers.
Een deel van de wijzigingen stuurde SSH-verkeer dat via Tor liep door naar een van twaalf servers die de aanvallers zelf beheerden. Gebruikers kregen daardoor mogelijk een waarschuwing dat de sleutel van de SSH-host was veranderd. Wie die waarschuwing negeerde, kon zijn SSH-wachtwoord aan de aanvallers prijsgeven.
Daarnaast blokkeerden de aanvallers op de getroffen exitnodes de poorten 25, 465, 587, 993 en 995. Die poorten worden gebruikt voor verschillende vormen van versleutelde e-mail. Door dat verkeer tegen te houden, probeerden de aanvallers gebruikers richting onversleutelde e-mail te sturen, zodat berichten konden worden onderschept en in leesbare vorm verzameld.
Onderzoekers hebben nog geen verklaring voor alle stappen in de aanval. Ook is niet vastgesteld hoeveel SSH-wachtwoorden of e-mails daadwerkelijk zijn buitgemaakt. De aanwezigheid van Ebury op de servers wijst erop dat de aanvallers langdurige toegang tot de systemen probeerden te behouden.
