333台のTor出口ノードが乗っ取られ、SSHトラフィックの傍受と平文メールの窃取に利用

何が起きたのか

正体不明の攻撃者が、300台以上のTor出口サーバーを乗っ取り、設定を書き換えました。攻撃は8月末に始まりました。Torのボランティアによると、攻撃者は使い回されていたパスワードを使って、Torの管理サーバーに入り込みました。その後、Linux向けのバックドア「Ebury」を仕掛けました。攻撃者は次に、別のTorサーバー「Switzerland2」にも入り、同じバックドアを仕掛けました。最終的に333台の出口サーバーが、この攻撃に関わっていました。攻撃は10月2日から5日まで行われました。

数字で見るポイント

• 乗っ取られた出口サーバーは333台
• SSH接続を横取りする中継サーバーは12台
• 攻撃は10月2日から10月5日まで
• 暗号化されていないメールを狙うため、暗号化メールで使われる5つのポート（25、465、587、993、995）を遮断

攻撃の仕組み

Torは、インターネットの通信がどこから来たのかを隠す仕組みです。通信は複数のサーバーを経由し、最後に「出口サーバー」から外へ出ます。SSHは、遠くのコンピューターに安全につなぐための方法です。攻撃者は、SSH接続を偽のサーバーへ転送しました。利用者が「接続先の鍵が変わった」という警告を無視すると、パスワードを入力してしまい、それが攻撃者に渡ってしまいます。

なぜ大切なのか

Torは、記者や活動家など、身を守る必要がある人たちが使うことがあります。出口サーバーが信用できなくなると、利用者は通信を盗み見られるおそれがあります。特にパスワードを入力してしまうと、被害は大きくなります。Torを使う人は、警告表示を軽く見ないことが大切です。また、パスワードの使い回しをしないことも、こうした攻撃を防ぐ基本になります。

今後注目すべき点

• 攻撃者がどうやって残りのサーバーを乗っ取ったのか
• 暗号化されていないメールが実際に盗まれたのかどうか
• Torプロジェクトが乗っ取られたサーバーをどう取り除き、利用者へどう知らせるか