חוקר בשם Kaba גילה ב-2 באוקטובר שמאות ממסרי יציאה ברשת Tor מפנים תעבורת SSH לשרתי יירוט. מי שהתחבר דרך Tor בשבוע הראשון של החודש, אישר מפתח שרת שלא הכיר והקליד סיסמה, צריך להניח שהיא נחשפה.
הפרטים
לפי הדיווח ב-The Hacker News, סריקה של כ-3,000 ממסרי יציאה העלתה 333 ממסרים שהפנו SSH לאותם 12 שרתי יירוט. ניתוח נתוני הספרייה של Tor מצא 377 ממסרים של 59 מפעילים שעברו למדיניות היציאה של התוקף בין 1 ל-4 באוקטובר, כ-7.5% מקיבולת היציאה בשיאה. זו התאמה למדיניות ולא הוכחה לפריצה בכל ממסר.
המנגנון: התוקפים הוסיפו פורט 22 ל-torrc, ולקוחות Tor בחרו בהם כיציאה ל-SSH. חלק מהממסרים הציגו מפתח שרת מזויף, ואחרים העבירו את החיבור כמות שהוא. מי שהקליד סיסמה מסר אותה למיירט, שהתחבר איתה לשרת האמיתי ויכול היה להריץ פקודות. התחברות במפתח לא ניתנת להעברה הלאה, כי החתימה קשורה למזהה הסשן.
אחד המפעילים, Zimmer, פרסם ניתוח שלאחר האירוע. לפיו התוקף נכנס ב-28 באוגוסט לשרת הניהול שלו עם סיסמה ששימשה גם ל-sudo ולגיבוי, והתקין את Ebury, דלת אחורית של OpenSSH. חוקר ESET ציין שגרסה 1.8.3 קיימת מאז יוני 2026 והזהיר שיש כנראה ממסרים נוספים שנפרצו. לא ידוע איך התוקף השיג את הסיסמה ואיך נפרצו המפעילים האחרים.
נקודות לשים לב
- התחברת ל-SSH דרך Tor בין 1 ל-5 באוקטובר ואישרת מפתח שרת חדש או שהשתנה? הנח שהסיסמה נחשפה, החלף אותה, ובדוק בשרת סימני Ebury.
- השבת הזדהות בסיסמה ב-SSH בשרתים שחשופים לאינטרנט ועבור להזדהות במפתחות. מפתחות אינם ניתנים להעברה למיירט.
- אל תקבל אזהרת "מפתח שרת השתנה" בלי לאמת אותה מול מקור אחר. הסר ערך ב-
known_hostsשאושר בטעות. - מפעילי ממסרים: בדוק ב-Relay Search מדיניות יציאה שלא קבעת, ועיין ב-
torrcלשינוייExitPolicy. אל תשתמש באותה סיסמה ל-SSH, sudo וגיבוי. אם נפרצת, התקן מחדש במקום לנקות. - בדיקת חבילות לא תתפוס את הרכיב של Ebury. השתמש בסקריפט הזיהוי המעודכן של ESET.
מקורות: The Hacker News · Kaba, ניתוח מקורי
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
