Attackers Hijacked Over 300 Tor Exit Relays to Intercept SSH Connections
The Hacker News · 21 oct, 12:30
En la primera semana de octubre, atacantes comprometieron más de 300 relés de salida de Tor y los reconfiguran para interceptar conexiones SSH, robando contraseñas de los usuarios que aceptaban las claves de host falsas. Entre el 1 y el 5 de octubre, los relés maliciosos representaban hasta el 7,46 % de la capacidad de salida de Tor. El Proyecto Tor identificó el ataque el 4 de octubre e inmediatamente marcó los relés comprometidos como BadExit para evitar que los clientes de Tor los utilizaran como punto de salida.
Los atacantes obtuvieron acceso a hosts basados en Linux y modificaron los archivos de configuración torrc de los relés para permitir el puerto 22 (SSH), convirtiendo 342 relés existentes en capaces de transportar tráfico SSH. Además, 24 relés que no eran salidas en absoluto se convirtieron en salidas. Cuando un usuario conectaba a través de uno de estos relés comprometidos, la conexión se redirigía a uno de 12 servidores de intercepción que presentaban claves de host falsas.
El ataque solo fue efectivo contra autenticación por contraseña: los usuarios que aceptaban la clave falsa y escribían su contraseña se la entregaban al interceptor, quien luego se conectaba al servidor real, permitiendo que el atacante viera todos los comandos y probara la contraseña robada con privilegios sudo. Los inicios de sesión basados en claves no pudieron ser retransmitidos, ya que la firma del cliente incluye un identificador único de sesión. El Proyecto Tor detectó el ataque a través de cambios de política y marcó los relés como BadExit el 4 de octubre, eliminándolos del consenso hacia las 21:00 UTC.
Puntos clave
- Más de 300 relés de Tor fueron comprometidos entre el 1 y el 5 de octubre para interceptar SSH
- Solo fueron capturadas contraseñas de usuarios que aceptaban las claves de host falsas
- Los inicios de sesión por clave SSH no pudieron ser interceptados por el protocolo SSH
- El Proyecto Tor eliminó los relés del consenso en menos de 24 horas tras detectar el ataque
- Se utilizaban 12 servidores de intercepción; uno con clave ED25519 SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E
Figuras de la fuente
