Un grupo de atacantes desconocidos tomó el control de 333 de los casi 3.000 nodos de salida de la red Tor, el software que permite navegar de forma anónima, para interceptar conexiones y robar contraseñas entre el 2 y el 5 de octubre, según reveló un investigador que detectó el ataque en su propia computadora. Tor funciona enrutando el tráfico de un usuario a través de varios repetidores voluntarios antes de llegar a su destino final en internet. El nodo de salida es el último de esos repetidores: el único punto del recorrido que puede ver el tráfico sin cifrar antes de que salga hacia la red abierta.
El investigador, que publica bajo el seudónimo kaba, contó en su sitio personal que su conexión por SSH, el protocolo que permite iniciar sesión a distancia en un servidor, fue redirigida la mañana del viernes 2 de octubre hacia un servidor que no era el suyo.
Su programa le mostró la advertencia estándar de OpenSSH que alerta cuando la identidad de un servidor remoto cambió de forma inesperada, una señal habitual de que alguien intenta interponerse en la comunicación.
Al repetir el análisis sobre el resto de la red, kaba halló que 333 nodos de salida, alrededor de una décima parte del total, redirigían el tráfico SSH hacia los mismos 12 servidores de intercepción controlados por los atacantes.
Los responsables habían ingresado a esos servidores dos meses antes, en agosto, e instalado en secreto Ebury, un programa malicioso para sistemas Linux que roba contraseñas y abre una puerta trasera para controlar la máquina a distancia, según el relato del investigador.
Cómo funcionó el engaño
Los atacantes modificaron el archivo de configuración de cada repetidor para habilitar el puerto 22, el que usa el protocolo SSH, en servidores que antes lo tenían bloqueado. Así convirtieron equipos que solo oficiaban de intermediarios en nodos de salida capaces de interceptar esas sesiones.
Cuando un usuario intentaba iniciar sesión en un servidor remoto a través de uno de los nodos comprometidos, su conexión era desviada hacia uno de los 12 servidores de intercepción, que presentaban una identidad falsa para hacerse pasar por el destino real.
Si la persona ignoraba la advertencia de cambio de identidad y escribía su contraseña, el atacante la capturaba, abría una conexión paralela hacia el servidor verdadero para que la sesión funcionara con normalidad y podía observar cada comando que el usuario tipeaba.
Los inicios de sesión que usaban una clave criptográfica en lugar de una contraseña quedaron a salvo, porque ese método vincula cada sesión a una firma única que no puede reenviarse a través de un intermediario, explicó el investigador.
Los mismos cambios de configuración bloquearon los puertos de correo electrónico cifrado y dejaron abiertos los de correo sin cifrar, en un intento adicional de capturar mensajes de texto plano si algún programa de correo aceptaba una conexión menos segura.
La reacción del equipo de Tor
Kaba avisó esa misma noche al equipo de salud de red del proyecto Tor, que confirmó el hallazgo en un aviso público enviado el 5 de octubre a los operadores de repetidores de la red.
“Parece que el atacante está accediendo a equipos basados en Linux y, cuando esas máquinas no funcionan como nodos de salida, edita el archivo de configuración para convertirlas en nodos de salida y así poder ejecutar el ataque por SSH”, escribió el equipo en ese comunicado.
Un análisis independiente de los datos públicos de la red, publicado también en la lista de correo de operadores, calculó que en el pico del ataque, el 4 de octubre, los repetidores comprometidos representaban el 7,46% de toda la capacidad de salida de Tor por peso de consenso.
Las autoridades de directorio de la red marcaron esos nodos con la etiqueta “BadExit” a partir del 4 de octubre para que los programas de los usuarios dejaran de elegirlos como salida, y hacia el 5 de octubre ya no quedaba ninguno de los 333 repetidores activos en el consenso de la red.
Un operador de repetidores que reportó por separado haber sido víctima del mismo ataque atribuyó su propia brecha a una contraseña reutilizada entre el inicio de sesión por SSH, los permisos de administrador y una frase de respaldo guardada sin cifrar, además de tener habilitado el acceso por contraseña en un servidor de gestión conectado a internet.
Los investigadores aún no lograron determinar cómo los atacantes obtuvieron el acceso inicial a la mayoría de los más de 140 servidores afectados, que pertenecían a 59 operadores distintos repartidos en al menos 15 países.
Tampoco se conoce cuántas contraseñas lograron robar los atacantes ni si consiguieron leer mensajes de correo electrónico sin cifrar durante los tres días que duró la operación.
El proyecto Tor pidió a los operadores de repetidores que revisen sus sistemas en busca de señales de compromiso, generen una nueva identidad criptográfica para cualquier equipo afectado y reporten cualquier hallazgo adicional a la dirección de correo que la organización reserva para incidentes de seguridad en la red.