장악된 Tor 네트워크 출구 노드 300여개가 SSH 로그인 탈취

Contents

오염된 Tor 네트워크 출구 노드(Exit Node)

무료로 익명 통신을 도와주는 Tor 네트워크 Node 탈취 문제가 또 일어났습니다. 출구 노드 300여개를 장악한 해커들이 SSH 탈취를 위해 연결을 로그인 자격 증명 정보를 훔치는 서버로 리디렉션 했다고 합니다.

https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/message/Z2B6XYKJZBBQADU77MSNL6FJP7MHZHIV 여기에서 먼저 의혹이 나왔는데 이런걸 찾아내는 사람들이 정말 대단해보입니다.

이 글을 보시는 현재는 해결된 문제입니다. 10월 1일부터 5일까지 Tor 네트워크를 통해 SSH 서버에 접속하신 분들은 한 번 체크해보시길 바랍니다. 리디렉션 된 이후 해당 서버의 호스트 키를 수락한 경우에는 로그인 자격 증명 정보가 탈튀되었을 가능성이 있습니다.

공격자가 Tor 운영자들의 서버에 Ebury라는 악성코드를 설치하는 방식으로 진행됐다고해ㅛㅇ.

출구 노드가 뭐예요?

우리 컴퓨터
Tor 서버 1
Tor 서버 2
Tor 서버 3(출구)
목적지 웹사이트

이렇게 흘러가는데 마지막 서버를 이야기 합니다.

내 SSH 아이디, 비밀번호 탈취됐을 가능성?

가능성은 낮을거라 생각해요. Tor와 SSH를 동시에 사용하시는 분들이 갑자기 새로 뜨는 수락 메세지에서 Y를 누르진 않았을거라 봅니다.

아래 조건이 만족 되어야 합니다.

10월 1~5일 사이에 Tor 사용
해킹된 300여개의 출구 중 하나를 통과
SSH(원격 접속) 사용
비밀번호로 로그인
공격자가 제시한 가짜 서버 인증서를 수락

탈취된 노드는 삭제

해킹된 출구 릴레이는 총 333개이며 영향받은 노드 운영자는 59명, 뉴스나 보고서에 따르면 Tor 전체 출구 용량 중에 해킹된 비중이 7.46%라고도하고 많게는 10% 정도가 해커들의 통제하에 있었다고도 합니다. Tor 네트워크의 Node 해킹이나 장악은 해커들 뿐 아니라 정부, 정보 기관 등 국가 기관이 수사를 위해 잠복하는 경우도 있죠.

그래서 많이, 자주 사용할거면 VPN도 함께 사용하는게 좋다는 의견이 나오는 것 같습니다.

Tor 네트워크 취약점

자주 있는 일은 아닙니다. 하지만 동일 사례는 반복되고 있어요. 과거에도 VPN vs Tor 비교 글에서 언급해드린적이 있었죠. 거의 매년 한 번은 비슷한 뉴스를 보게되네요.