Hakerzy przejmują jedną czwartą sieci Tor
Atakujący w locie podmieniają portfele bitcoin w przeglądarkach użytkowników w celu przechwycenia wysyłanych środków.
Nieznana grupa cyberprzestępcza dodała serwery do sieci Tor w celu przeprowadzenia ataku SSL stripping na użytkowników przeglądarki Tor przeprowadzających transakcje kryptowalutami. Ich zadaniem było zastąpienie docelowych adresów BTC bezpośrednio w ruchu, pozbawiając w ten sposób swoje ofiary cyfrowej waluty.
Cyberprzestępcy rozpoczęli swoją działalność w styczniu 2020 r., a do maja 2020 r. kontrolowali jedną czwartą wszystkich węzłów wyjściowych sieci Tor (23,95%, czyli 380 sztuk). Za pośrednictwem tych serwerów ruch użytkowników opuszcza sieć Tor i trafia do otwartego Internetu.
Według badacza bezpieczeństwa Nusenu, zakres operacji jest trudny do określenia, ale udało mu się zidentyfikować prawie czterysta złośliwych węzłów wyjściowych, które były pod kontrolą atakujących w szczytowym momencie operacji.
Manipulując ruchem przechodzącym przez kontrolowane węzły wyjściowe Tora, atakujący wykorzystali technikę ataku typu man-in-the-middle (MITM) na użytkowników przeglądarki Tor. W szczególności byli zainteresowani osobami odwiedzającymi strony związane z kryptowalutami.
Mówiąc dokładniej, cyberprzestępcy przeprowadzili tzw. SSL stripping – cofnęli ruch HTTPS użytkowników do mniej bezpiecznego HTTP. Jak wyjaśnił Nusenu, celem atakujących było zastąpienie adresów bitcoin w ruchu HTTP wysyłanym do mikserów bitcoin (usług służących do anonimizacji transakcji kryptowalutowych). Zmieniając adresy bitcoin na poziomie ruchu HTTP, cyberprzestępcy z powodzeniem przechwycili kryptowalutę bez zauważenia jej właścicieli.
Wykorzystując technikę zwaną „SSL Stripping", osoby atakujące zamieniały zaszyfrowany ruch HTTPS użytkowników na niezaszyfrowany HTTP, umożliwiając im swobodne analizowanie i modyfikowanie przechwyconych danych według własnego uznania, zanim opuściły one sieć Tor. W ten sposób otrzymali możliwość wyszukiwania adresów portfeli Bitcoin w ruchu użytkowników, a następnie zastępowania ich własnymi.
W wyniku ataku użytkownik przeglądarki Tor, próbując przelać środki ze swojego portfela Bitcoin do innego portfela Bitcoin, mógł łatwo przekazać środki oszustom.
W czerwcu tego roku operatorzy sieci Tor przeprowadzili „czystkę”, znacznie osłabiając siłę ataku atakujących. Udało im się znacznie ograniczyć wpływ intruzów, jednak ponad 10% ruchu sieciowego pozostaje pod ich kontrolą.