Tor çıkış düğümlerinin ele geçirilmesi: saldırgan SSH trafiğini izleyip düz metin e-postaları ele geçirdi

Bir saldırgan, yeniden kullanılan bir parolayla Tor yönetim sunucusuna girerek birden fazla çıkış düğümünü kontrol altına aldı ve bu düğümlerden geçen trafiği değiştirdi.

Ağ trafiğini gizlemek için kullanılan Tor ağında, geçen ağustos ayının sonundan itibaren bilinmeyen bir saldırgan birden fazla çıkış düğümünü ele geçirdi ve bu düğümlerden geçen trafiği müdahale edebileceği şekilde yeniden yapılandırdı. Saldırı, yeniden kullanılmış geçerli bir parolayla bir Tor yönetim sunucusuna girilmesiyle başladı. Saldırgan bu sunucuya Ebury adlı Linux arka kapısını yükledi. Ebury, 12 yıl önce ilk kez keşfedilmiş bir zararlı yazılımdır.

Saldırgan ardından ikinci bir Tor sunucusu olan Switzerland2'ye SSH üzerinden bağlandı. Bağlantıda kullandığı RSA anahtarı, araştırmacıların sunucunun yetkili anahtarları arasında bulamadığı bir anahtardı. Switzerland2'nin kontrolünü eline geçiren saldırgan burada da Ebury'yi kurdu ve bu sunucuda barındırılan iki çıkış düğümünü değiştirdi.

Olay, tek bir kimlik bilgisinin yeniden kullanılmasının, kullanıcıların trafiklerini gizlemek için güvendiği altyapıyı nasıl tehlikeye atabileceğini gösteriyor.