В 09:35 пятницы, 2 октября, 333 выходных узла Tor одновременно начали перехватывать SSH. Порт 22 уводился на один из 12 серверов-перехватчиков, остальной трафик шёл как обычно.
В сети около 3000 выходных узлов — под контролем был примерно каждый десятый. Доступ у атакующих появился ещё в августе: два месяца на машинах лежал Ebury 1.8.3, бэкдор для OpenSSH.
Часть портов на заражённых узлах закрыли, чтобы гнать только незашифрованную почту. На SSH работал MITM: жертва видит REMOTE HOST IDENTIFICATION HAS CHANGED, соглашается — и отдаёт пароль, команды и сервер. Ebury ставится Perl-однострочником в base64.
Искали через exitmap: скрипт закреплял выходной узел и смотрел, куда реально приходит SSH. Дюжина узлов отдала поддельный отпечаток, 300+ пропускали через те же перехватчики.
4 октября узлам выставили BadExit, 5-го заражённые серверы погасили. На графике выходных узлов провал виден до сих пор.
Не выяснено: как попали на машины (версия — взлом хостинг-провайдера) и кто стоит за атакой. Ebury с 2009 года, по оценке из рассылки, побывал на 400 000 серверов — другие заражённые узлы могут ещё работать.
Пароль по SSH — подарок. Ключи, аппаратные ключи, сверка отпечатков.
