Неизвестная группировка контролировала тысячи Tor-узлов с 2017 года Еще в далеком 2019-ом эксперт из области ИБ под ником Nusenu забил тревогу, заметив странное поведение серверов TOR, не имеющих контактной информации. Их объединяло одно - в отличие от других киберпреступников, использующих выходные узлы, «таинственный» объект, впоследствии наделённый именем KAX17, специализировался на входных и средних точках. А на этой неделе Nusenu сообщил The Record, что это была попытка деанонимизации пользователей TOR. Чтобы разгадать одну из тайн «луковой» сети, Nusenu пришлось проследить за замеченными серверами с интересным поведенческим паттерном вплоть до 2017 года. Он пришёл к выводу, что только на пике своей активности KAX17 добавила более 900 вредоносных серверов. А за весь исследуемый период неизвестным удалось запустить тысячи узлов, в основном, на входных и промежуточных позициях. Роль этих узлов заключается в шифровании и анонимизации пользовательского трафика при входе и выходе из TOR-сети за счёт создания гигантской сети прокси-серверов. В свою очередь, они перебрасывают соединения между собой, обеспечивая обещанную конфиденциальность. У серверов TOR есть возможность указания контактный данных, чтобы админы и правоохранительные органы могли связаться с их операторами в случае злоупотребления. Однако это не контролируется строго и всякие ноунеймы попадают в TOR для количества узлов и скрытия трафиков. По словам Nusenu, в первые годы своего существования, по крайней мере один раз, KAX17 была уличена в плохом OpSec. Один из ее серверов засветил адрес электронной почты. Кроме того, эксперт сообщал группе безопасности TOR о подозрительных серверах с 2019 года, но только в октябре 2020 выходные точки KAX17 в сети были удалены. По мнению Nusenu, задачей группировки, возможно, является сбор информации о входящих в сеть пользователях. Однако он точно уверен в том, что на национальном уровне появился уже давно хорошо обеспеченный агент угроз, который может позволить себе аренду сотни серверов с высокой пропускной способностью.