Angrepet mot Tor-nettverket startet i slutten av august. Ifølge Tor-frivillige fikk angriperne tilgang til en administrasjonsserver ved å bruke et gyldig passord som var gjenbrukt, og installerte skadevaren Ebury, en bakdør skrevet for Linux som ble oppdaget for 12 år siden.

Derfra koblet angriperne seg til en annen Tor-server, kalt Switzerland2, via SSH. De brukte en RSA-nøkkel som etterforskerne av ukjente årsaker ikke fant blant de autoriserte nøklene på serveren. Med administratorrettigheter installerte angriperne Ebury også der, før innstillingene på to utgangsnoder som Switzerland2 var vert for, ble endret.

SSH-trafikk ble sendt til avlyttingsservere

Totalt ble 333 utgangsreléer involvert i kampanjen, men etterforskerne har ikke fastslått hvordan angriperne fikk kontroll over alle de underliggende serverne.

En av endringene sendte SSH-trafikk gjennom Tor til én av 12 avlyttingsservere som angriperne kontrollerte. Tor-brukere som ignorerte advarsler om at SSH-vertens nøkkel var endret, kunne deretter bli lurt til å skrive inn SSH-passordet sitt.

«Hvis du tilfeldigvis får en krets som går ut gjennom én av de 333 infiserte utgangsnodene, vil du ikke merke noe med det første», skrev Kaba, navnet Tor-frivillige brukte i innlegget.

«Kryptert webtrafikk videresendes som normalt, men hvis du forsøker en SSH-tilkobling via port 22, blir du uten å vite det omdirigert til én av 12 SSH-avlyttingsservere. Det var akkurat det som skjedde med meg fredag morgen», skrev Kaba.

Da Kaba koblet seg til, fikk vedkommende en advarsel om at identiteten til den eksterne verten var endret. Meldingen advarte om at noen kunne avlytte forbindelsen i et såkalt «man-in-the-middle»-angrep, samtidig som den presiserte at vertsnøkkelen også kunne ha blitt endret av andre årsaker.

Blokkerte porter for kryptert e-post

En annen endring blokkerte portene 25, 465, 587, 993 og 995. Portene brukes til å ta imot ulike former for kryptert e-post. Samtidig fikk trafikk til porter for ukryptert e-post fortsette.

Dersom e-posttjenester forsøkte å nedgradere forbindelsen, kunne angriperne bruke tilgangen til utgangsnodene til å hente meldinger i klartekst. Det er imidlertid uklart om noen slike nedgraderingsforsøk faktisk lyktes.

Kapringen fant sted fra 2. til 5. oktober. Tor-frivillige hadde tidligere beskrevet deler av det første innbruddet på administrasjonsserveren og Switzerland2, samt forsøket på å fange opp ukryptert e-post. Den nye rapporten ga flere detaljer om hvor mange utgangsnoder som var kompromittert og hvordan SSH-trafikken ble omdirigert.

Passord og kommandoer kunne bli stjålet

Videre undersøkelser viste at angriperne kunne stjele SSH-passordet dersom brukeren ignorerte advarselen. Deretter kunne de åpne en forbindelse til serveren, se alle kommandoene som ble skrevet inn, og åpne en ny forbindelse for å infisere serveren med Ebury.

For å kartlegge kampanjen laget Kaba et skript som undersøkte rundt 3 000 Tor-utgangsnoder. Skriptet sjekket om nodene mottok riktig SSH-fingeravtrykk fra en testserver. Testserveren undersøkte deretter om forbindelsen kom fra en fastsatt utgangsnode eller fra én av de 12 avlyttingsserverne som angriperne brukte.

Det ble også satt opp en såkalt honeypot, en fellemaskin som skulle observere avlyttingsprogramvaren når den forsøkte å logge inn og installere Ebury.

Vet ikke hvem som sto bak

Flere spørsmål er fortsatt ubesvart. Tor-frivillige vet ikke hvordan angriperne fikk tilgang til så mange servere. Én mulighet er at et selskap som huset serverne, selv ble hacket, men teorien er ikke bekreftet.

Det er heller ikke kjent hvem som sto bak angrepet. «Bruken av Ebury og den brede innsamlingen av ukrypterte data peker mot en økonomisk motivert kriminell gruppe», skrev Kaba. «Men også dette er bare spekulasjon.»

Et annet ubesvart spørsmål er hvorfor Switzerland2 godtok en RSA-nøkkel når det ikke finnes bevis for at den var et autorisert SSH-sertifikat.

Forsvar i flere lag

Hendelsen viser ifølge rapporten betydningen av flere uavhengige sikkerhetstiltak for å hindre datatyveri i omfattende angrep. Blant tiltakene er å konfigurere e-postkontoer slik at de bare godtar kryptert trafikk og avviser ukrypterte porter.

Et annet tiltak er å deaktivere passordpålogging for SSH og i stedet bruke SSH-nøkler.