Hơn 300 nút thoát Tor bị chiếm quyền, chặn lén lưu lượng SSH và email

Một nhà nghiên cứu vừa công bố phát hiện đáng lo ngại: hơn 300 nút thoát (exit node) của mạng Tor đã bị chiếm quyền và cấu hình lại nhằm đánh cắp dữ liệu nhạy cảm. Cuộc tấn công diễn ra trong ba ngày và nhắm thẳng vào lưu lượng email không mã hóa lẫn các kết nối SSH của người dùng.

Đây là lời cảnh báo mới nhất cho thấy mạng ẩn danh phổ biến nhất thế giới vẫn là mục tiêu hấp dẫn đối với tội phạm mạng, đặc biệt khi người dùng lơ là trong việc mã hóa dữ liệu đầu cuối.

Diễn biến cuộc tấn công

Theo thông tin từ đội ngũ tình nguyện viên vận hành Tor, sự việc bắt đầu vào cuối tháng 8. Kẻ tấn công đã lợi dụng một mật khẩu hợp lệ bị dùng lại để xâm nhập vào một máy chủ quản lý của Tor.

Sau khi có quyền truy cập, đối tượng cài đặt Ebury — một backdoor viết cho Linux đã được phát hiện từ 12 năm trước nhưng dường như vẫn còn hiệu quả trong nhiều kịch bản tấn công.

Từ máy chủ quản lý, kẻ tấn công tiếp tục kết nối SSH tới một máy chủ Tor thứ hai có tên Switzerland2. Đáng chú ý, chúng sử dụng một khóa RSA mà các nhà điều tra không tìm thấy trong danh sách khóa được ủy quyền của Switzerland2 — một chi tiết đến nay vẫn chưa có lời giải thích thỏa đáng.

Khi đã nắm quyền quản trị Switzerland2, chúng cài tiếp Ebury lên máy chủ này, rồi cuối cùng là cấu hình lại hai nút thoát do Switzerland2 vận hành để phục vụ mục đích đánh cắp dữ liệu.

Mục tiêu: email không mã hóa và kết nối SSH

Các cấu hình bị thay đổi nhằm hai mục đích chính:

• Ưu tiên lưu lượng email không mã hóa, qua đó có thể thu thập nội dung thư dưới dạng văn bản thuần (plaintext).
• Chuyển hướng các kết nối SSH qua những máy chủ do kẻ tấn công kiểm soát, tạo điều kiện chặn bắt thông tin đăng nhập và phiên làm việc.

Việc nhắm vào SSH đặc biệt nguy hiểm bởi đây là giao thức được quản trị viên hệ thống và lập trình viên sử dụng hằng ngày để truy cập máy chủ. Một khi phiên SSH bị chặn giữa đường, kẻ tấn công có thể leo thang ảnh hưởng tới toàn bộ hạ tầng phía sau.

"Việc tái sử dụng mật khẩu và thiếu mã hóa đầu cuối đang biến những lỗ hổng tưởng chừng nhỏ thành cánh cửa lớn cho kẻ tấn công."

Những điểm còn bỏ ngỏ

Dù đã xác định được phần lớn chuỗi tấn công, nhiều câu hỏi vẫn chưa có đáp án. Cụ thể, các nhà điều tra chưa rõ làm thế nào kẻ tấn công có được khóa RSA để xâm nhập Switzerland2, cũng như danh tính của nhóm đứng sau chiến dịch này.

Backdoor Ebury đã xuất hiện từ hơn một thập kỷ và từng gắn với các chiến dịch tấn công có tổ chức nhắm vào máy chủ Linux. Việc nó tái xuất trong một cuộc tấn công vào hạ tầng Tor cho thấy các công cụ cũ vẫn có thể gây thiệt hại lớn nếu không được phát hiện kịp thời.

Người dùng Việt Nam cần lưu ý gì?

Với cộng đồng người dùng Tor tại Việt Nam — từ nhà báo, nhà nghiên cứu đến những người quan tâm tới quyền riêng tư — sự việc này là lời nhắc nhở về giới hạn của mạng ẩn danh.

• Luôn dùng mã hóa đầu cuối: bật PGP cho email và ưu tiên các dịch vụ webmail hỗ trợ mã hóa. Tor chỉ ẩn danh hóa đường truyền, không bảo vệ nội dung nếu bản thân dữ liệu không được mã hóa.
• Hạn chế SSH qua Tor cho các tác vụ nhạy cảm, hoặc dùng thêm lớp bảo vệ như xác thực hai yếu tố và khóa phần cứng.
• Không tái sử dụng mật khẩu giữa các dịch vụ, đặc biệt với tài khoản quản trị.
• Cập nhật và kiểm tra máy chủ thường xuyên để phát hiện các backdoor như Ebury.

Sự việc một lần nữa cho thấy an ninh mạng là chuỗi mắt xích, và mắt xích yếu nhất thường nằm ở chính thói quen của người dùng.