Hackers ocupam mais de um quarto da rede Tor
Os invasores instantaneamente substituem as carteiras de bitcoin nos navegadores dos usuários para interceptar os fundos que estão sendo enviados.
Um grupo cibercriminoso desconhecido adicionou servidores à rede Tor para realizar um ataque de remoção de SSL contra usuários do navegador Tor que realizam transações com criptomoedas. A tarefa deles era substituir os endereços BTC de destino diretamente no tráfego, privando assim suas vítimas da moeda digital.
Os cibercriminosos começaram suas atividades em janeiro de 2020 e, em maio de 2020, controlavam um quarto de todos os nós de saída da rede Tor (23,95% ou 380 peças). Por meio desses servidores, o tráfego do usuário sai da rede Tor e entra na Internet aberta.
O escopo da operação é difícil de determinar, de acordo com o pesquisador de segurança Nusenu, mas ele conseguiu identificar quase quatrocentos nós de saída maliciosos que estavam sob o controle de invasores no pico da operação.
Ao manipular o tráfego que passa pelos nós de saída controlados do Tor, os invasores usaram uma técnica de ataque man-in-the-middle (MITM) nos usuários do navegador Tor. Em particular, eles estavam interessados em visitantes de sites relacionados a criptomoedas.
Para ser mais preciso, os cibercriminosos realizaram o chamado SSL stripping – eles reverteram o tráfego HTTPS dos usuários para um HTTP menos seguro. Como Nusenu explicou, o objetivo dos invasores era substituir endereços bitcoin dentro do tráfego HTTP enviado para misturadores de bitcoin (serviços para anonimizar transações de criptomoeda). Ao alterar os endereços bitcoin no nível do tráfego HTTP, os cibercriminosos interceptaram com sucesso a criptomoeda sem que seus proprietários percebessem.
Usando uma técnica chamada “SSL Stripping", os invasores trocaram o tráfego HTTPS criptografado dos usuários por HTTP não criptografado, permitindo que eles analisassem e modificassem livremente os dados interceptados como bem entendessem antes de deixar a rede Tor. Assim, eles tiveram a oportunidade de procurar endereços de carteira Bitcoin no tráfego do usuário e, em seguida, substituí-los pelos seus próprios.
Como resultado do ataque, um usuário do navegador Tor, ao tentar transferir fundos de sua carteira Bitcoin para outra carteira Bitcoin, poderia facilmente dar os fundos para golpistas.
Em junho deste ano, os operadores da rede Tor realizaram uma "limpeza", enfraquecendo significativamente o poder de ataque dos atacantes. Eles conseguiram reduzir significativamente a influência de invasores, no entanto, mais de 10% do tráfego de rede permanece sob seu controle.