Атака на Freedom Hosting: перехват данных о пользователях
Корпорация Symantec сообщила об атаке на популярный хостинг Freedom Hosting, предоставляющий анонимный хостинг через сеть Tor. На странице сервиса были обнаружены вредоносные скрипты, позволяющие злоумышленникам перехватывать данные о пользователях сети Tor. С помощью вредоносной программы можно было отследить местоположение пользователя, что в результате вызвало сомнения в анонимности хостинг-центра.
Скрипты, обнаруженные на сайтах, которые размещены на хостинге Freedom Hosting, используют уязвимость, найденную в браузере Firefox, которая уже была исправлена в Firefox 22 и Firefox 17.0.7 ESR (Extended Support Release). Скорее всего, эта уязвимость была выбрана потому, что набор для работы с сетью Tor Browser Bundle (TBB) основан на Firefox ESR 17. Продукты Symantec определяют эти скрипты как Trojan.Malscript!html.
В случае успешной атаки MAC-адрес сетевой карты и имя локального хоста зараженного компьютера отправляются на IP-адрес 65.222.202.54 – то есть попадают в руки злоумышленника. Ниже приведен пример отсылаемых таким способом данных, где host – локальное имя компьютера, а cookie ID – его MAC-адрес:
Помимо этого, в результате посещения вредоносного сайта на компьютере остается уникальный cookie-файл, и с его помощью, а также используя MAC-адрес и локальное имя хоста, злоумышленники могут определить местоположение отдельного компьютера, подвергнувшегося атаке. Внедрение таких методов позволило бы правоохранительным органам определять местоположение систем путем отслеживания того, кому была продана та или иная сетевая карта. Существует масса предположений относительно личности и мотивов злоумышленников, стоящих за этой атакой, однако на данный момент подтвердить что-либо не представляется возможным.
Хотя сеть Tor и создавалась для защиты личных данных пользователей путем скрытия их местоположения и интернет-активности от различных систем анализа трафика и сетевого отслеживания, недавняя атака показывает, что пользователей Tor все же можно отследить.