Tor: nuevos detalles sobre una campaña que afectó a 333 nodos de salida

Un artículo de Ars Technica publicado el 22 de octubre aporta detalles sobre una campaña que involucró a 333 nodos de salida de Tor. Los desvíos se produjeron del 2 al 5 de octubre: se trata, por tanto, de información publicada recientemente sobre un incidente anterior, sin que el documento aporte pruebas de que la campaña siga activa en la actualidad.

Los atacantes modificaron los nodos para redirigir conexiones SSH hacia servidores que controlaban. Según la investigación recogida, los usuarios que ignoraban la advertencia de cambio de clave del servidor podían entonces entregar su contraseña. El investigador también observó un mecanismo que permitía supervisar los comandos e instalar la puerta trasera Ebury en el servidor atacado.

Otra parte de la campaña consistía en bloquear determinados puertos de correo electrónico y dejar pasar las conexiones sin cifrar. El objetivo era obtener mensajes si los servicios aceptaban degradar su conexión. Ars Technica precisa que no se ha establecido si estos intentos de degradación tuvieron éxito.

Las circunstancias de la toma de control siguen sin esclarecerse por completo. Se atribuye una primera intrusión a la reutilización de una contraseña válida, pero los investigadores no saben cómo se comprometió el conjunto de los servidores afectados. La identidad de los responsables también sigue siendo desconocida. El incidente subraya así la importancia de las alertas de autenticación y de mantener el cifrado, al tiempo que deja abierta la cuestión del alcance real de los datos interceptados.