Un ataque coordinado afectó a 333 nodos de salida de la red Tor entre el 2 y el 5 de octubre, comprometiendo la privacidad de usuarios que utilizaron estos nodos para conexiones SSH y correos electrónicos no cifrados. La información fue revelada por un voluntario de Tor que investigó la intrusión y documentó la metodología empleada por los atacantes.
Modus operandi del ataque
Según informó el voluntario conocido como Kaba, los atacantes accedieron inicialmente a un servidor de gestión de Tor mediante una contraseña reutilizada. Posteriormente, instalaron un backdoor llamado Ebury, un malware conocido desde hace más de una década que permite control remoto y captura de credenciales en sistemas Linux.
Con acceso administrativo, los atacantes comprometieron un segundo servidor denominado Switzerland2, desde donde reconfiguraron 333 nodos de salida para interceptar tráfico SSH y manipular conexiones de correo electrónico.
Te puede interesar
TecnologíaAtaques a vulnerabilidades PHP ocurrieron días antes de parche oficial, advierte AWSAmazon Web Services detectó intentos de explotación de fallas críticas en PHP cuatro días antes de que se publicaran los…Leer la nota Interceptación de tráfico SSH y correos electrónicos
Los nodos afectados redirigían las conexiones SSH hacia 12 servidores controlados por los atacantes. Usuarios que ignoraron las advertencias de cambio en la clave del host SSH expusieron sus contraseñas, las cuales fueron capturadas para acceder a sus sistemas y propagar el backdoor Ebury.
Además, los nodos bloquearon puertos asociados a correos electrónicos cifrados (25, 465, 587, 993 y 995), permitiendo únicamente el tráfico de correos sin cifrar. Esto facilitó la captura de mensajes en texto plano, aunque no se ha confirmado si hubo éxito en la degradación del cifrado.
Investigación y preguntas sin resolver
El voluntario desarrolló un script para monitorear los nodos de salida y detectar cuáles estaban comprometidos. También implementó un honeypot para observar las acciones del malware Ebury. Sin embargo, aún se desconoce cómo los atacantes lograron controlar tantos servidores y por qué un servidor aceptó una clave RSA no autorizada.
El perfil del ataque sugiere motivaciones financieras, aunque no se ha identificado a los responsables. La comunidad de Tor enfatiza la importancia de usar únicamente conexiones cifradas y deshabilitar la autenticación por contraseña en SSH para mitigar riesgos similares.
Contexto y recomendaciones
La red Tor es utilizada para preservar el anonimato y la privacidad en internet, pero esta intrusión demuestra que incluso infraestructuras diseñadas para la seguridad pueden ser vulnerables a ataques sofisticados. Usuarios y administradores deben reforzar sus configuraciones de seguridad, priorizando el cifrado y la autenticación basada en claves.
Las medidas preventivas incluyen rechazar conexiones no cifradas en servicios de correo electrónico y evitar ignorar advertencias de seguridad en conexiones SSH, ya que podrían indicar ataques de intermediarios.
