Hơn 300 node thoát Tor bị cài mã độc Ebury để chặn SSH

Ngày 2/10, khoảng 333 node thoát (exit node) của mạng ẩn danh Tor đồng loạt tiến hành một chiến dịch tấn công có tổ chức. Tor chỉ có khoảng 3.000 exit relay, nên kẻ tấn công đã kiểm soát gần 10% toàn mạng. Theo một nhà nghiên cứu phát hiện vụ việc, nhóm này xâm nhập các máy chủ từ tháng 8 và lặng lẽ cài Ebury 1.8.3, một backdoor OpenSSH kiêm công cụ đánh cắp thông tin đăng nhập trên Linux.

Chúng làm gì với dữ liệu của bạn?

Kẻ tấn công nhắm hai mục tiêu: thu thập thật nhiều lưu lượng email không mã hóa, và chặn các kết nối SSH. Nếu bạn dùng SSH qua cổng 22 và đi qua một node bị nhiễm, kết nối sẽ bị chuyển hướng sang một trong 12 máy chủ nghe lén. Khi đó SSH hiện cảnh báo "REMOTE HOST IDENTIFICATION HAS CHANGED". Nếu bỏ qua cảnh báo, mật khẩu sẽ bị đánh cắp, từng lệnh bạn gõ bị theo dõi, và máy chủ của bạn bị cài thêm Ebury.

Phản ứng của Tor Project

Chiều 2/10, nhà nghiên cứu báo cho đội network health của Tor Project. Đội này xác nhận đây là kiểu tấn công chưa từng thấy. Đến ngày 4/10, các relay bị gắn cờ BadExit để người dùng không còn bị dẫn qua chúng. Đến 5/10, toàn bộ máy chủ nhiễm đã ngừng hoạt động.