Нови открития хвърлят светлина върху това, което се смята за законен опит за тайно прихващане на трафик, идващ от jabber[.]ru (известен още като xmpp[.]ru), услуга за незабавни съобщения, базирана на XMPP, чрез сървъри, хоствани в Hetzner и Linode (дъщерно дружество на Akamai) в Германия.

„Атакуващият е издал няколко нови TLS сертификата, използвайки услугата Let’s Encrypt, които са били използвани за превземане на криптирани STARTTLS връзки на порт 5222 с помощта на прозрачно [man-in-the-middle] прокси“, заяви по-рано тази седмица изследовател по сигурността, който се подвизава под псевдонима ValdikSS.

„Атаката беше открита поради изтичането на срока на валидност на един от MiTM сертификатите, които не са били преиздадени.“

Събраните до момента доказателства сочат, че пренасочването на трафика е конфигурирано в мрежата на хостинг доставчика, което изключва други възможности, като пробив в сървъра или атака с подмяна на имената.

Предполага се, че подслушването е продължило цели шест месеца – от 18 април до 19 октомври, въпреки че е потвърдено, че то се е извършвало поне от 21 юли 2023 г. и до 19 октомври 2023 г.

Признаците за подозрителна дейност са открити за първи път на 16 октомври 2023 г., когато един от UNIX администраторите на услугата получава съобщение „Сертификатът е изтекъл“ при свързване с нея.

Смята се, че хакерът е преустановил дейността, след като на 18 октомври 2023 г. е започнало разследването на инцидента MiTM. Не е ясно веднага кой стои зад атаката, но се предполага, че става въпрос за законно прихващане въз основа на искане на германската полиция.

Друга хипотеза, макар и малко вероятна, но не и невъзможна, е, че атаката MiTM е проникване във вътрешните мрежи на Hetzner и Linode, като конкретно е посочен jabber[.]ru.

„Като се има предвид естеството на прихващането, нападателите са били в състояние да изпълнят всяко действие, сякаш е изпълнено от оторизиран акаунт, без да знаят паролата на акаунта“, казва изследователят.

„Това означава, че атакуващият е можел да изтегли списъка на акаунта, доживотната некриптирана история на съобщенията от страна на сървъра, да изпраща нови съобщения или да ги променя в реално време.“

The Hacker News се свърза с Akamai и Hetzner за допълнителен коментар и ще актуализираме историята, ако получим отговор.

На потребителите на услугата се препоръчва да приемат, че съобщенията им през последните 90 дни са компрометирани, както и да „проверяват акаунтите си за нови неоторизирани OMEMO и PGP ключове в хранилището PEP и да сменят паролите си“.