Een beveiligingsonderzoeker heeft een netwerk van 333 gehackte Tor-exitnodes ontdekt. Hackers gebruikten deze servers om verbindingen te onderscheppen, wachtwoorden te stelen en onbeveiligd internetverkeer te verzamelen. De getroffen servers vormden ongeveer 10% van alle Tor-exitnodes.
Tor is een netwerk dat bekendstaat om zijn focus op privacy. Het leidt het internetverkeer van gebruikers via meerdere servers om hun IP-adres en online activiteiten te verbergen. Exitnodes zijn de laatste servers waarlangs het verkeer het Tor-netwerk verlaat en zijn uiteindelijke bestemming bereikt.
Volgens de Zweedse onderzoeker hadden de aanvallers de servers al in augustus gehackt en besmet met malware genaamd Ebury. Deze schadelijke software kan inloggegevens stelen en criminelen ongeoorloofde toegang geven tot Linux-systemen.
Op 2 oktober begonnen de geïnfecteerde servers een gecoördineerde aanval waarbij ze probeerden beveiligde verbindingen met externe computers te onderscheppen. Gebruikers die via de getroffen exitnodes verbinding maakten, konden worden omgeleid naar servers onder controle van de aanvallers.
Als slachtoffers beveiligingswaarschuwingen negeerden en toch inlogden, konden de hackers hun wachtwoorden stelen, hun opdrachten volgen en proberen hun apparaten met malware te besmetten. De gehackte exitnodes waren bovendien zo ingesteld dat ze onbeveiligd e-mailverkeer verzamelden.
De onderzoeker ontdekte de aanval nadat hij zelf een verdachte beveiligingswaarschuwing tegenkwam. Bij nader onderzoek van ongeveer 3.000 Tor-exitnodes bleken 333 servers gehackt te zijn. Dat is ongeveer 10% van alle exitnodes binnen het Tor-netwerk.
Na ontvangst van de onderzoeksresultaten nam het netwerkbeveiligingsteam van het Tor Project contact op met de beheerders van de getroffen servers. Ook werden de kwaadaardige exitnodes gemarkeerd, zodat ze geen uitgaand internetverkeer meer konden verwerken. Op 5 oktober waren alle 333 gehackte servers uitgeschakeld.
Wie er achter de aanvallen zitten en hoe de hackers aanvankelijk toegang kregen tot zoveel servers, is nog onbekend.
Het incident legt mogelijk groeiende beveiligingsproblemen binnen het Tor-netwerk bloot, nu aanvallers steeds beter leren hoe ze misbruik kunnen maken van de infrastructuur.
Eind september werd namelijk ook al een andere kwetsbaarheid in het Tor-netwerk ontdekt, waardoor gebruikers mogelijk gevaar liepen. Die ontdekking leidde tot dringende beveiligingsupdates.
