TOR sotto attacco: 333 nodi compromessi e traffico deviato

La rete TOR è stata colpita da una compromissione di ampia portata: tra il 2 e il 5 ottobre risultano coinvolti 333 nodi di uscita. I sistemi sarebbero stati usati per tentare di intercettare connessioni SSH e messaggi di posta elettronica privi di cifratura, mentre una parte dei dati è stata indirizzata verso server esterni sotto il controllo degli aggressori.

Restano però irrisolti diversi aspetti dell’incidente. Non è ancora possibile stabilire quanti dati siano stati davvero leggibili, né sono state chiarite l’identità degli autori e la tecnica utilizzata per estendere l’accesso a un numero così elevato di server.

L’accesso iniziale risale ad agosto

Le prime tracce dell’intrusione portano alla fine di agosto. Secondo le informazioni disponibili, l’attaccante avrebbe utilizzato una password ancora valida, ma già impiegata in precedenza, per entrare in un server amministrativo collegato all’infrastruttura della rete.

Dopo aver ottenuto l’accesso, avrebbe installato Ebury, una porta secondaria per Linux individuata per la prima volta circa dodici anni fa. Questo componente gli avrebbe consentito di mantenere una presenza nel sistema e di proseguire l’azione verso altre macchine.

Da Switzerland2 ai nodi di uscita

Dal primo server violato, l’intruso si sarebbe collegato tramite SSH a un secondo sistema, chiamato Switzerland2. Per il passaggio avrebbe impiegato una chiave RSA che, secondo le ricostruzioni disponibili, non risultava compresa tra quelle autorizzate.

Una volta conquistati anche i privilegi amministrativi su Switzerland2, l’aggressore avrebbe installato nuovamente Ebury e modificato le impostazioni di alcuni nodi di uscita gestiti da quel server. L’intervento si sarebbe poi esteso fino a coinvolgere 333 sistemi, una quantità che rende ancora poco chiaro il meccanismo con cui la compromissione è stata propagata.

Dati reindirizzati, ma danno incerto

L’attacco avrebbe puntato soprattutto a osservare connessioni SSH e traffico di posta elettronica non protetto. Alcune informazioni risultano trasferite verso infrastrutture esterne riconducibili agli aggressori, ma non è stato accertato se i contenuti fossero effettivamente utilizzabili o comprensibili.

Al momento non è neppure noto se dietro l’operazione ci sia una singola persona oppure un gruppo organizzato. La portata dell’episodio è stata individuata, ma rimangono da ricostruire sia la reale estensione dell’intercettazione sia il percorso seguito per raggiungere un numero tanto alto di nodi.