Piratas informáticos secuestraron 333 nodos de salida de la red Tor para robar contraseñas

Un grupo de atacantes desconocidos tomó el control de 333 de los casi 3.000 nodos de salida de la red Tor , el software que permite navegar de forma anónima, para interceptar conexiones y robar contraseñas entre el 2 y el 5 de octubre, según reveló un investigador que detectó el ataque en su propia computadora.

Tor funciona enrutando el tráfico de un usuario a través de varios repetidores voluntarios antes de llegar a su destino final en internet .

El nodo de salida es el último de esos repetidores: el único punto del recorrido que puede ver el tráfico sin cifrar antes de que salga hacia la red abierta.

El investigador, que publica bajo el seudónimo kaba, contó en su sitio personal que su conexión por SSH, el protocolo que permite iniciar sesión a distancia en un servidor, fue redirigida la mañana del viernes 2 de octubre hacia un servidor que no era el suyo.

Su programa le mostró la advertencia estándar de OpenSSH que alerta cuando la identidad de un servidor remoto cambió de forma inesperada , una señal habitual de que alguien intenta interponerse en la comunicación.

Al repetir el análisis sobre el resto de la red, kaba halló que 333 nodos de salida, alrededor de una décima parte del total, redirigían el tráfico SSH hacia los mismos 12 servidores de intercepción controlados por los atacantes.

Los responsables habían ingresado a esos servidores dos meses antes, en agosto, e instalado en secreto Ebury , un programa malicioso para sistemas Linux que roba contraseñas y abre una puerta trasera para controlar la máquina a distancia, según el relato del investigador.

Cómo funcionó el engaño Los atacantes modificaron el archivo de configuración de cada repetidor para habilitar el puerto 22, el que usa el protocolo SSH, en servidores que antes lo tenían bloqueado.

Así convirtieron equipos que solo oficiaban de intermediarios en nodos de salida capaces de interceptar esas sesiones.

Cuando un usuario intentaba iniciar sesión en un servidor remoto a través de uno de los nodos comprometidos, su conexión era desviada hacia uno de los 12 servidores de intercepción, que presentaban una identidad falsa para hacerse pasar por el destino real.

Si la persona ignoraba la advertencia de cambio de identidad y escribía su contraseña, el atacante la capturaba, abría una conexión paralela hacia el servidor verdadero para que la sesión funcionara con normalidad y podía observar cada comando que el usuario tipeaba.

Los inicios de sesión que usaban una clave criptográfica en lugar de una contraseña quedaron a salvo , porque ese método vincula cada sesión a una firma única que no puede reenviarse a través de un intermediario, explicó el investigador.