300'den Fazla Tor Çıkış Relay'i Ele Geçirildi

Son zamanlarda yapılan bir araştırma, 2023 Ekim ayının başında 300'den fazla Tor çıkış relay'inin saldırganlar tarafından kontrol altına alındığını ve bu relay'lerin SSH bağlantılarını yönlendirmek için kullanıldığını ortaya koydu. Tor ağındaki çıkış relay'leri, kullanıcıların internet trafiğinin son noktasıdır ve bu trafiğin hedef sunuculara ulaşmasını sağlar. Saldırganlar, bu relay'leri kullanarak kullanıcıların giriş şifrelerini çalmayı başardı.

Tor Çıkış Relay'leri ve Saldırı Süreci

Tor ağında, çıkış relay'leri, trafiğin Tor ağından çıkıp hedefe ulaşmadan önceki son noktadır. Araştırmacı kaba, 1 Ekim ile 5 Ekim tarihleri arasında bu relay'lerin 333'ünün, 12 farklı saldırı sunucusuna SSH bağlantılarını yönlendirdiğini tespit etti. Bu süreçte, saldırganlar, relay'lerin konfigürasyon dosyalarını değiştirerek port 22'yi (SSH portu) açtı ve böylece bu relay'ler üzerinden SSH bağlantıları yapılmasına olanak sağladı.

Saldırganlar, relay'lerin ayarlarını değiştirerek, şifreli e-posta bağlantılarını kapattı ve bunun yerine SSH ve Telnet gibi açık metin bağlantılarını yönlendirmeye başladı. Bu değişiklik, kullanıcıların şifrelerini tehlikeye atarak, sahte bir anahtar sunarak gerçek sunucularla bağlantı kurmalarına neden oldu.

Kullanıcıların Maruz Kaldığı Riskler

Eğer bir kullanıcı, 1 Ekim ile 5 Ekim tarihleri arasında Tor üzerinden bir SSH sunucusuna bağlandıysa ve ele geçirilen bir relay üzerinden geçtiyse, bu durumda saldırganların şifrelerini çalma riskiyle karşı karşıya kalmış olabilir. Kullanıcılar, tanımadıkları veya değişmiş anahtarları kabul ettiyse, bu durumda şifrelerini değiştirmeleri ve sunucularını kontrol etmeleri önerilmektedir.

Ebury Arka Kapısı ve Saldırganların Erişimi

Saldırganların, Ebury adındaki bir arka kapıyı kullanarak sistemlere erişim sağladığı belirtildi. Ebury, OpenSSH için bir arka kapı ve kimlik bilgisi çalıcıdır ve 2009 yılından beri aktif durumdadır. Araştırmacı Zimmer, iki sunucusunun Ebury tarafından etkilendiğini ve saldırganın bu sunuculara erişim sağladığını belirtti. Ebury'nin arka kapı logları hiçbir kayıt bırakmadığı için, saldırının izini sürmek oldukça zor.

Tor Projesi'nin Tepkisi ve Çözüm Süreci

Tor Projesi, 4 Ekim'de saldırı ile ilgili relay'leri işaretlemeye başladı ve 5 Ekim itibarıyla saldırganların kontrolündeki relay'lerin hiçbiri ağda kalmadı. Ayrıca, Tor'un ağ sağlığı ekibi, saldırganların relay'lerin ayarlarını değiştirdiğini fark etti ve bu relay'lerin kullanılmaması için gerekli önlemleri aldı.

Sonuç olarak, bu olay, Tor ağının güvenliği ve kullanıcıların gizliliği açısından önemli bir tehdit oluşturmaktadır. Kullanıcıların, SSH bağlantıları sırasında dikkatli olmaları ve bilmedikleri anahtarları kabul etmemeleri büyük önem taşımaktadır.