Tor: 333 Exit-Nodes gekapert, um SSH-Verkehr und Klartext-Mails abzugreifen

Was passiert ist

Laut einem Bericht eines Tor-Freiwilligen („Kaba“) haben Unbekannte 333 Tor-Exit-Nodes übernommen und so umkonfiguriert, dass sie SSH-Verkehr abfangen und unverschlüsselte E-Mails begünstigen. Der Einbruch begann Ende August: Über ein wiederverwendetes Passwort gelangten die Angreifer auf einen Tor-Verwaltungsserver und installierten dort die Linux-Backdoor Ebury. Von dort ging es per SSH auf einen weiteren Server („Switzerland2“), dessen RSA-Schlüssel sich nicht in den autorisierten Schlüsseln finden ließ – bis heute ungeklärt.

Die Angriffsmasche

• SSH-Umleitung: Verbindungen auf Port 22 über betroffene Exit-Nodes landeten bei einem von 12 Abfangservern. Wer die Warnung „Remote Host Identification Has Changed“ ignorierte, gab sein Passwort preis; die Angreifer beobachteten Befehle und infizierten den Zielserver per zweiter Verbindung mit Ebury.
• Mail-Downgrade: Die Ports 25, 465, 587, 993 und 995 wurden geblockt, unverschlüsselte Ports blieben offen. Fallen Dienste auf Klartext zurück, können die Exit-Nodes mitlesen. Ob das gelang, ist unklar.
• Die Hijacking-Phase lief vom 2. bis 5. Oktober.

Aufklärung und offene Fragen

Kaba schrieb ein Skript, das alle rund 3.000 Exit-Nodes mit einem Testserver auf korrekte SSH-Fingerprints prüfte, und baute einen Honeypot, der die Abfangsoftware beim Login-Versuch beobachtete. Unklar bleibt, wie die Angreifer so viele Server übernahmen und wer dahintersteckt; Ebury und das breite Abgreifen von Klartext deuten auf eine finanziell motivierte Gruppe.

Lehre

Host-Key-Warnungen nie wegklicken, SSH-Passwörter durch Schlüssel ersetzen und Mail-Konten auf reine TLS-Verbindungen festlegen – so schrumpft der Schaden selbst bei kompromittierten Zwischenstationen.

Quelle: Ars Technica