แฮกเกอร์ยึดโหนด Tor กว่า 300 จุดเพื่อดักทราฟฟิก SSH และอีเมลที่ไม่เข้ารหัส

รายงานจากนักวิจัยด้านความปลอดภัยระบุว่า มีกลุ่มแฮกเกอร์ไม่ทราบตัวตนยึดครอง Tor exit nodes มากกว่า 300 จุด แล้วปรับแต่งการตั้งค่าเพื่อเอื้อให้ทราฟฟิกอีเมลที่ไม่ได้เข้ารหัสไหลผ่าน และพยายามเปลี่ยนเส้นทางการเชื่อมต่อ SSH ไปยังเซิร์ฟเวอร์ที่อยู่ภายใต้การควบคุมของตน จุดเริ่มต้นของเหตุการณ์เกิดขึ้นตั้งแต่ปลายเดือนสิงหาคม เมื่อผู้โจมตีใช้รหัสผ่านที่ถูกนำกลับมาใช้ซ้ำเพื่อเข้าสู่เซิร์ฟเวอร์บริหารจัดการของเครือข่าย Tor ได้สำเร็จ จากนั้นจึงติดตั้ง Ebury ซึ่งเป็นแบ็กดอร์บนลินุกซ์ที่เคยถูกพบมานานกว่า 12 ปีแล้วลงไปในระบบดังกล่าว

หลังจากได้สิทธิ์เข้าถึงเซิร์ฟเวอร์บริหารจัดการ ผู้โจมตีได้เชื่อมต่อไปยังเซิร์ฟเวอร์ Tor อีกเครื่องที่ชื่อ Switzerland2 ผ่าน SSH โดยใช้กุญแจ RSA ที่นักวิจัยยังหาที่มาไม่ได้จากรายการกุญแจที่ได้รับอนุญาตของเครื่องนั้น เมื่อควบคุม Switzerland2 ได้ ก็มีการติดตั้ง Ebury เพิ่มเติม และใช้สิทธิ์ระดับแอดมินเพื่อปรับแต่งโหนดทางออกที่โฮสต์อยู่บนเครื่องนั้นอีกทอดหนึ่ง เหตุการณ์นี้สะท้อนว่าการควบคุมโครงสร้างพื้นฐานที่เกี่ยวข้องกับ Tor หากถูกเจาะได้ อาจถูกนำไปใช้ทั้งเพื่อสอดส่องการสื่อสารและบิดเบือนเส้นทางทราฟฟิกได้ในวงกว้าง

แม้จะมีรายละเอียดสำคัญหลายส่วนถูกเปิดเผยแล้ว แต่รายงานชี้ว่ายังมีปริศนาอยู่หลายจุด โดยเฉพาะที่มาของกุญแจ RSA ที่ใช้เข้าถึง Switzerland2 และขอบเขตที่แท้จริงของความเสียหายหรือข้อมูลที่อาจถูกสกัดกั้น เหตุการณ์นี้ตอกย้ำความเสี่ยงของการใช้รหัสผ่านซ้ำในระบบดูแลโครงสร้างพื้นฐานความปลอดภัย และความสำคัญของการป้องกันเซิร์ฟเวอร์ที่เป็นจุดศูนย์กลางในการบริหารเครือข่ายไม่ให้ตกเป็นเป้าหมายของการยึดระบบซ้ำซ้อน