Вредоносная кампания, перенаправлявшая SSH-соединения и атаковавшая незашифрованный трафик электронной почты, напоминает нам, что маскировка происхождения трафика — это не то же самое, что защита того, что происходит после его выхода из сети анонимизации.
В течение трех дней октября злоумышленники удерживали контроль над сотнями выходных ретрансляторов Tor. Они использовали эти ретрансляторы в кампании по перехвату, нацеленной на SSH-соединения и незашифрованную электронную почту. Исследователи identified 333 affected exit relays, но следователи до сих пор не знают, как злоумышленники впервые получили контроль над всеми базовыми серверами.
Давайте уделим немного времени тому, чтобы объяснить, что такое Tor и почему эти выходные ретрансляторы имеют значение. Tor, сокращение от The Onion Router, — это сеть анонимизации, которая маршрутизирует интернет-трафик через несколько многоуровневых ретрансляторов, скрывая происхождение соединения пользователя.
Выходной ретранслятор — это последний узел на этом пути, пересылающий трафик из Tor наружу к предназначенному веб-сайту или службе. Проект Tor описывает выходные ретрансляторы как инфраструктуру, поддерживаемую добровольцами, которая позволяет пользователям покидать сеть Tor и получать доступ к веб-сайтам и другим онлайн-сервисам.
Представьте себе эти ретрансляторы как цепочку независимых таксистов, которых вы используете друг за другом. Каждое такси знает только то, где оно вас подобрало и куда везти дальше. Последнее такси, выходной ретранслятор, доставляет вас к конечному пункту назначения, но не раскрывает, где началось ваше путешествие. Это означает, что выходной ретранслятор является критической границей, где трафик Tor покидает сеть и попадает в публичный интернет.
Tor может помочь скрыть происхождение трафика, но безопасность соединения при его выходе из сети остается важной. Этот инцидент с участием 333 скомпрометированных выходных ретрансляторов подчеркивает важное различие в сфере кибербезопасности: анонимность и безопасность связаны, но они не взаимозаменяемы.
Смогла бы ваша команда вовремя обнаружить следующую уязвимость нулевого дня?
Присоединяйтесь к лидерам в области безопасности, которые полагаются на рассылку Think Newsletter для получения тщательно отобранных новостей об ИИ, кибербезопасности, данных и автоматизации. Учитесь быстро с помощью экспертных руководств и разъяснений, доставляемых прямо в ваш почтовый ящик дважды в неделю. Ознакомьтесь с Заявлением о конфиденциальности IBM.
Эта недавняя кампания иллюстрирует, почему последний ретрансляционный узел заслуживает большего внимания.
По данным Ars Technica, взлом начался в конце августа, когда злоумышленник использовал действительный повторно использованный пароль для доступа к серверу управления Tor и установки бэкдора Ebury Linux. Затем злоумышленник получил доступ к другому серверу, используя ключ RSA, который следователи не смогли найти среди авторизованных ключей этого сервера. С со 2 по 5 октября скомпрометированные выходные узлы перенаправляли SSH-трафик на 12 серверов перехвата, контролируемых злоумышленниками, и изменяли обработку электронной почты таким образом, чтобы отдавать предпочтение незашифрованному трафику. SSH, или Secure Shell, — это протокол для безопасного подключения к другому компьютеру и управления им по сети. Протокол шифрует соединение, включая учетные данные для входа и команды.
Если говорить прямо, атака не сделала зашифрованный веб-трафик внезапно читаемым. Ars Technica о том, что зашифрованный веб-трафик продолжал пересылаться нормально. Для SSH сервер перехвата предоставил другой ключ хоста. Это означает, что пользователи, которые проигнорировали последовавшее предупреждение об изменении ключа и ввели свои пароли, могли скомпрометировать эти учетные данные.
Это важно, потому что после такого инцидента немедленная реакция заключается в том, чтобы назвать Tor небезопасным. Эксперты по безопасности в недавнем эпизоде подкаста Security Intelligence определенно скептически отнеслись к сети, но их обсуждение прояснило более сложную реальность использования Tor.
«Я изначально исходил из того, что каждый выходной узел Tor скомпрометирован с самого начала», — заявил во время обсуждения Ник Брэдли (Nick Bradley), менеджер по анализу угроз X-Force в IBM. Однако этот скептицизм не означает, что анонимность по своей сути носит злонамеренный характер.
Дон Коуэн (Don Cowan), ассоциированный хакер IBM X-Force Red, согласился со многими критическими замечаниями группы в адрес Tor, но отметил, что использование его для обхода цензуры является одной из законных причин, по котрым кто-то может стремиться к анонимности. Даже если обход этих ограничений нарушает местные законы, утверждал Коуэн, «я бы не стал говорить, [что] это обязательно сразу является гнусным» (злонамеренным).
Это не первый случай компрометации выходных ретрансляторов. В 2020 году проект Tor удалил вредоносные выходные ретрансляторы, которые вмешивались в трафик криптовалютных бирж. В то время они предупреждали, что незашифрованные HTTP-запросы остаются уязвимыми для атак.
Что примечательно в последнем угоне, так это то, что проект теперь также рассматривает структурные препятствия для новых выходных узлов. Предложение Проекта Tor на 2026 год по жизненному циклу выходного ретранслятора специально ссылается на предыдущие атаки типа «человек посередине» и утверждает, что этап подготовки призван увеличить издержки злоумышленников и дать возможность более раннего обнаружения.
Рекомендации Проекта Tor по типам ретрансляторов подчеркивают, почему выходные ретрансляторы требуют особого внимания. Целевые службы видят IP-адрес выходного ретранслятора, а не пользователя, что может создать юридические и операционные риски для операторов ретрансляторов. Это не делает сам Tor ненадежным, а скорее подкрепляет необходимость защиты и мониторинга границы, где трафик покидает сеть анонимизации.
Практический вывод из этого инцидента выходит далеко за рамки простого Tor. Инфраструктура анонимизации может скрывать информацию о происхождении, не делая каждую систему за этой границей заслуживающей доверия. Октябрьская атака, как сообщается, началась с чего-то гораздо менее экзотического: повторно использованного пароля.
Для команд безопасности это может быть самым важным уроком, которым стоит поделиться. Технологии конфиденциальности не заменяют базовые основы безопасности, а сложная архитектура все еще может быть подорвана классическими сбоями в безопасности учетных данных и инфраструктуры.
