333 Node Tor Dibajak untuk Curi Data SSH dan Email
Judul asli: 333 Tor exit nodes hijacked to intercept SSH traffic and retrieve plaintext email
Mengapa Ini Penting
Serangan rantai kepercayaan di infrastruktur Tor ancam jutaan pengguna anonim global.
Peretas tidak dikenal membajak 333 exit node Tor selama 3 hari (2–5 Oktober) untuk mencegat koneksi SSH dan email tidak terenkripsi menggunakan backdoor Ebury.
Serangan bermula akhir Agustus ketika penyerang masuk ke server manajemen Tor menggunakan kata sandi valid yang telah dipakai ulang di tempat lain. Mereka lalu memasang Ebury, backdoor Linux yang pertama kali ditemukan 12 tahun lalu. Dari sana, penyerang terhubung ke server kedua bernama Switzerland2 via SSH menggunakan RSA key yang—anehnya—tidak ditemukan di antara authorized keys Switzerland2. Setelah menguasai Switzerland2, Ebury ikut dipasang di sana.
Total 333 exit relay akhirnya terlibat. Bagaimana penyerang menguasai semua server yang mendasarinya masih belum jelas. Konfigurasi diubah dua cara: pertama, lalu lintas SSH dialihkan ke salah satu dari 12 server intersepsi milik penyerang. Pengguna yang mengabaikan peringatan perubahan host key SSH dan tetap memasukkan kata sandi menjadi korban. Kedua, port email terenkripsi (25, 465, 587, 993, 995) diblokir, sementara port email tanpa enkripsi tetap dibuka—berharap layanan email melakukan downgrade koneksi agar pesan bisa dibaca polos.
Relawan Tor bernama Kaba yang menulis laporan menyebut dirinya sendiri sempat terdampak: "Jika sirkuit Anda melewati salah satu dari 333 exit node yang terinfeksi, awalnya tidak ada yang terasa aneh. Tapi jika Anda mencoba koneksi SSH lewat Port 22, Anda tanpa sadar diarahkan ke salah satu dari 12 server intersepsi SSH. Itulah yang terjadi pada saya Jumat pagi." Apakah upaya downgrade email berhasil masih belum terkonfirmasi.