333 nút thoát Tor bị chiếm quyền để chặn lưu lượng SSH và lấy email dạng văn bản thuần

Chuyện gì đã xảy ra

Tor là mạng giúp che giấu danh tính người dùng trên internet. Vào cuối tháng 8, kẻ tấn công lạ đã chiếm quyền truy cập một máy chủ quản lý của Tor. Chúng dùng một mật khẩu cũ bị dùng lại ở nhiều nơi. Sau đó, chúng cài một phần mềm độc hại tên là Ebury lên máy chủ. Từ đó, chúng kiểm soát thêm một máy chủ Tor khác tên là Switzerland2 và chỉnh sửa cài đặt của hai exit node mà máy này quản lý. Tổng cộng 333 exit node bị ảnh hưởng.

Các con số chính

• Hơn 300 exit node bị chiếm quyền, tổng cộng 333 node liên quan đến chiến dịch.
• Có 12 máy chủ chặn lén (interceptor) do kẻ tấn công điều khiển.
• Vụ tấn công diễn ra từ ngày 2 đến ngày 5 tháng 10.
• Chúng chặn các cổng email mã hóa 25, 465, 587, 993 và 995, nhưng vẫn để các cổng email không mã hóa hoạt động.

Cách tấn công hoạt động

SSH là cách an toàn để đăng nhập vào máy chủ từ xa. Khi kết nối SSH bị chuyển hướng, máy chủ giả có thể nhận mật khẩu của bạn. Người dùng bỏ qua cảnh báo rằng khóa máy chủ đã thay đổi thì rất dễ bị lừa. Với email, nếu dịch vụ email tự hạ xuống kết nối không mã hóa, kẻ tấn công có thể đọc nội dung tin nhắn. Chưa rõ có trường hợp nào thành công hay không.

Vì sao chuyện này quan trọng

Tor thường được dùng để bảo vệ quyền riêng tư và an toàn. Vụ này cho thấy một mật khẩu bị dùng lại có thể khiến cả một mạng lưới bị ảnh hưởng. Người dùng có thể bị lộ mật khẩu SSH nếu họ bỏ qua cảnh báo. Các nhà nghiên cứu vẫn chưa biết hết cách kẻ tấn công chiếm được tất cả máy chủ.

Cần theo dõi điều gì

• Các nhà nghiên cứu có thể tìm ra cách kẻ tấn công chiếm được tất cả các máy chủ.
• Cần xem có ai đã bị lộ mật khẩu SSH hoặc email hay không.
• Người dùng nên không bỏ qua cảnh báo khóa SSH đã thay đổi.