Tor ağında 300'den fazla çıkış noktası ele geçirildi, Tor üzerinden yapılan SSH bağlantıları şifre çalan sunuculara yönlendirildi

Ekim’in ilk günlerinde Tor ağında daha önce görülmemiş bir saldırı yaşandı ve ayrıntıları bu hafta ortaya çıktı. 1-5 Ekim arasında, ağdaki çıkış noktalarının yaklaşık onda biri Tor üzerinden yapılan SSH bağlantılarını saldırganların sunucularına yönlendirdi. Saldırıyı bulan araştırmacı 20 Ekim’de ayrıntıları yayımladı. Tor Projesi’nin ağ sağlığı ekibi araştırmacıya “Daha önce böyle bir saldırı görmedik” dedi.

Tor çıkış noktaları ve SSH bağlantıları

Tor, internet trafiğini gönüllülerin işlettiği sunucular (röleler) üzerinden birkaç kez şifreleyip aktararak kullanıcının kim olduğunu ve nereye bağlandığını gizleyen bir ağ. Trafiğin Tor ağından çıkıp asıl hedefine gittiği son durağa çıkış noktası (exit relay) deniyor. Her çıkış noktası, işletmecisinin belirlediği bir çıkış kuralıyla (exit policy) hangi portlara trafik taşıyacağını seçiyor.

SSH ise sunuculara uzaktan bağlanıp yönetmek için kullanılan şifreli bir protokol. SSH istemcisi, bağlandığı sunucunun gerçekten o sunucu olduğunu sunucu anahtarıyla (host key) doğruluyor. Daha önce bağlandığınız bir sunucunun anahtarı değişirse istemci büyük bir uyarı gösteriyor, ilk kez bağlanıyorsanız anahtarı kabul edip etmeyeceğinizi soruyor.

Saldırının fark edilmesi

Blogunda “kaba” takma adını kullanan araştırmacı, 2 Ekim sabahı Tor üzerinden kendi sunucusuna SSH ile bağlanmak istediğinde “REMOTE HOST IDENTIFICATION HAS CHANGED” (sunucu kimliği değişti) uyarısıyla karşılaştı. Bunun üzerine Tor’un ağ sağlığı ekibinin de kullandığı exitmap aracıyla bir betik yazdı. Betik, ağdaki yaklaşık 3 bin çıkış noktasının her biri üzerinden, araştırmacının bir sunucusundan diğerine SSH bağlantısı açtı. Bir taraf gelen anahtarın doğru olup olmadığını, diğer taraf bağlantının gerçekten çıkış noktasından mı yoksa başka bir sunucudan mı geldiğini kontrol etti.

Sonuç: 333 çıkış noktası SSH bağlantılarını aynı 12 araya girme (interception) sunucusuna yönlendiriyordu. Bunların yaklaşık bir düzinesi sahte bir sunucu anahtarı gösterdi, 300 kadarı ise bağlantıyı bu sunucular üzerinden geçirdi ama anahtarı değiştirmedi. Araştırmacı bulgularını aynı akşam Tor Projesi’ne bildirdi. Tor’un ağ sağlığı ekibi de çıkış kurallarındaki değişikliği kendi izleme sistemleriyle fark etmişti.

Çıkış kurallarındaki değişiklikler

The Hacker News’in aktardığı ve Tor’un kamuya açık dizin verilerine dayanan bir analize göre 1-4 Ekim arasında 59 işletmeciye ait 377 rölenin çıkış kuralı aynı biçimde değişti. Analiz bunun bir ele geçirme kanıtı değil, aynı kurala geçiş olduğunu vurguluyor. En yoğun anda, 4 Ekim’de, bu kuralı taşıyan röleler Tor’un toplam çıkış kapasitesinin yüzde 7,46’sını oluşturuyordu.

Saldırganlar rölelerin ayar dosyasını (torrc) değiştirerek SSH’nin kullandığı 22 numaralı portu açtı. Daha önce SSH trafiği taşımayan 342 rölede bu port açıldı, hiç çıkış noktası olmayan 24 röle de çıkış noktasına dönüştürüldü. Tor Projesi 5 Ekim’deki duyurusunda bunu şöyle anlattı: “Saldırgan Linux tabanlı sunuculara erişim sağlıyor ve bu makineler çıkış noktası değilse torrc dosyasını düzenleyip SSH saldırısını yapabilmek için onları çıkış noktasına dönüştürüyor.”

Aynı değişiklikle şifreli e-posta portları (IMAPS ve POP3S) kapatıldı, rölelerin çoğunda şifresiz e-postaya izin veren POP3 ve IMAP portları açıldı. Araştırmacıya göre saldırının bir amacı da mümkün olduğunca çok şifresiz e-posta trafiği toplamaktı. Şifreli portların neden kapatıldığı dizin verilerinden anlaşılamıyor.

Şifrelerin ele geçirilme yöntemi

Bu çıkış noktalarından birine denk gelen bir kullanıcı SSH ile bağlanmak istediğinde, bağlantısı asıl sunucuya değil araya giren sunuculardan birine gidiyordu. Bu sunucu kendi anahtarını gösterdiği için kullanıcı ya “sunucu kimliği değişti” uyarısını ya da ilk bağlantıda çıkan olağan “bu anahtarı kabul ediyor musunuz” sorusunu görüyordu.

Araştırmacıya göre uyarıyı geçip şifreyle giriş yapan kullanıcının başına üç şey geliyordu:

• Şifresi çalınıyordu.
• Araya giren sunucu kullanıcı adına asıl sunucuya bağlanıyor, böylece oturum normal çalışıyor ve yazılan her komut izlenebiliyordu.
• Saldırganlar çalınan şifreyle asıl sunucuya ayrıca giriş yapıp sudo yetkisi olup olmadığını kontrol ediyor ve base64 ile gizlenmiş bir Perl komutuyla Ebury arka kapısını kurmaya çalışıyordu.

Araştırmacı bu son adımı, araya giren sunucuyu kendi kurduğu bir tuzak sisteme (honeypot) giriş yapmaya ikna ederek gözlemledi.

Anahtarla (SSH key) yapılan girişler bu yöntemle asıl sunucuya taşınamıyordu. SSH protokolünde istemcinin imzası her oturuma özgü bir bilgi içerdiği için, araya giren sunucuya verilen imza asıl sunucuda işe yaramıyor. Şifre ise şifreli oturumun içinde karşı tarafa açık olarak ulaşıyor ve karşı taraf burada saldırganın sunucusuydu.

Sunuculara erişim, bilinenler ve açık sorular

Etkilenen rölelerin en büyük grubu olan Quetzalcoatl ailesinin işletmecisi Zimmer, 7 Ekim’de Tor’un e-posta listesinde ayrıntılı bir olay değerlendirmesi yayımladı. Buna göre saldırgan 28 Ağustos’ta, rölelerin yönetim sunucusu olarak kullanılan makineye işletmecinin hesabıyla ve doğru şifreyle ilk denemede giriş yaptı, beş dakika içinde root yetkisi aldı ve Ebury’yi kurdu. Bir saatten biraz fazla süre sonra ikinci bir sunucuya geçip oraya da kurdu. Yani saldırganlar Ekim’deki saldırıdan yaklaşık iki ay önce sunuculardaydı.

Zimmer kök nedeni şöyle açıkladı: “Kök neden bizdik: SSH girişi, sudo ve yedekleme parolası için kullanılan tek bir şifre, iki sunucuda da düz metin olarak saklanıyordu ve internete açık yönetim sunucusunda SSH şifreyle girişi açık bırakılmıştı.” Saldırganın bu şifreyi nereden aldığı bilinmiyor. Zimmer, “çevrim dışı” sandığı rölelerin ana anahtarlarının da aslında çevrim dışı olmadığını, kopyalarının yönetim sunucusundaki yedekte saldırganın zaten bildiği şifreyle korunduğunu yazdı. Ailedeki bütün röleleri kapattı ve iki sunucuyu da sildi.

Ebury, 2009’dan beri bilinen ve OpenSSH’ye yerleşerek giriş bilgilerini çalan bir arka kapı. Güvenlik şirketi ESET 2024’te Ebury’nin 400 bin sunucuya bulaştığını tahmin etmişti. Zimmer’in sunucularında bulunan 1.8.3 sürümü, ESET’in yayımladığı tespit işaretlerinden daha yeni. Ebury üzerine ESET raporlarını yazan araştırmacılardan Marc-Etienne M. Léveillé, bu sürümün en az Haziran 2026’dan beri dolaştığını belirterek tespit betiğinin güncellenmiş bir kopyasını paylaştı ve şunu ekledi: “2009 ile 2023 arasında Ebury bulaşan sunucu sayısı düşünülürse büyük olasılıkla başka ele geçirilmiş Tor röleleri de var.”

Diğer 58 işletmecinin sunucularına nasıl girildiği hâlâ en büyük açık soru. Dizin verilerine göre FranTech Solutions (BuyVM) ağındaki 101 röleden 71’i saldırganın kuralına geçerken, diğer ağlardaki 9.054 röleden yalnızca 13’ü geçti. Bu, barındırma firması düzeyinde bir ele geçirme ihtimalini gündeme getirdi, ancak bu doğrulanmış değil. Saldırının arkasında kimin olduğu da bilinmiyor.

Tor Projesi’nin müdahalesi

Tor’un dizin otoriteleri 4 Ekim akşamı etkilenen rölelere BadExit işareti vermeye başladı. Bu işaret Tor istemcilerine o röleyi asla çıkış noktası olarak kullanmamalarını söylüyor. 5 Ekim’de etkilenen röleler ağdan reddedilmeye başlandı ve The Hacker News’in aktardığı analize göre aynı gün akşam saatlerinde saldırganın kuralını taşıyan hiçbir röle ağda kalmadı. Tor ağındaki çıkış noktası sayısı bu süreçte yaklaşık 370 azaldı ve 18 Ekim itibarıyla eski seviyesine dönmemişti.

Önerilen önlemler

Tor üzerinden SSH kullandıysanız: 1-5 Ekim arasında Tor üzerinden bir sunucuya bağlanıp değişen ya da tanımadığınız bir sunucu anahtarını kabul ettiyseniz ve şifreyle giriş yaptıysanız, o şifreyi çalınmış sayın ve değiştirin. Sunucuda Ebury izlerini kontrol edin. Kabul ettiğiniz anahtar OpenSSH istemcisinin known_hosts dosyasına kaydedilmiş olur. Araştırmacının bağlantısında görülen araya giren sunucunun anahtar parmak izi ED25519 SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E, ancak diğer sunucular farklı anahtarlar kullanmış olabilir.

Herkes için: SSH’nin “sunucu kimliği değişti” uyarısını hiçbir zaman geçiştirmeyin, anahtarın neden değiştiğini başka bir yoldan doğrulamadan bağlanmayın. İnternete açık sunucularda SSH şifreyle girişi kapatıp yalnızca anahtarla girişe izin verin ve aynı şifreyi birden fazla yerde kullanmayın. Bu saldırıda anahtarla yapılan girişler asıl sunucuya taşınamıyordu.

Tor rölesi işletiyorsanız: Tor Projesi şunları kontrol etmenizi istiyor:

• Tor Metrics’teki Relay Search sayfasında rölenizin sizin vermediğiniz bir Exit işareti ya da çıkış kuralı taşıyıp taşımadığı
• torrc dosyasında ve dahil edilen dosyalarda ExitRelay, ExitPolicy, ContactInfo, MyFamily ya da Nickname satırlarında değişiklik olup olmadığı
• 22 numaralı portu yönlendiren NAT kuralları, bilinmeyen dinleyen süreçler ve dışarıya giden bağlantılar
• tor programının dağıtım paketiyle eşleşip eşleşmediği
• Yeni kullanıcılar, authorized_keys kayıtları, zamanlanmış görevler (cron) ve systemd birimleri

Ancak Zimmer’in sunucularında bu işaretlerin hiçbiri yoktu, yalnızca çıkış kuralı değişmişti. Bu nedenle temiz bir kontrol sonucu Ebury’nin olmadığını kanıtlamıyor. Şüpheli bir sunucuda kontrolün mümkünse kurtarma sisteminden ya da disk görüntüsü üzerinden yapılması, canlı sunucuya ise yalnızca anahtarla girilmesi öneriliyor. Zimmer’in uyarısı açık: “Şüphelendiğiniz bir sunucuya asla şifre yazmayın, çünkü Ebury onu yakalar.” Ele geçirildiği anlaşılan bir röle için Tor Projesi’nin önerisi, röleyi kapatmak, diski ve kayıtları korumak, temizlemeye çalışmak yerine sistemi yeniden kurmak, yeni bir röle kimliği oluşturmak ve sunucudaki bütün şifre ve anahtarları değiştirmek. Olaylar bad-relays@lists.torproject.org adresine bildirilebiliyor.