Hacker kompromittieren 333 Tor-Ausgangsknoten, um SSH- und unverschlüsselten E-Mail-Verkehr abzufangen

Image: Ars Technica · Source

Über drei Tage im Oktober 2026 kaperten Angreifer 333 Tor-Ausgangsknoten, leiteten SSH-Verbindungen an bösartige Server um und ermöglichten die Abfangung unverschlüsselter E-Mails, indem sie Schwachstellen bei Passwortwiederverwendung und Serversicherheit ausnutzten, so Berichte von Forschern.

Anfang Oktober 2026 ereignete sich ein großflächiger Sicherheitsverstoß im Tor-Netzwerk, bei dem unbekannte Angreifer 333 Tor-Ausgangsknoten innerhalb von drei Tagen kaperten. Die Angreifer manipulierten diese Knoten, um SSH-Verkehr abzufangen und unverschlüsselte E-Mail-Kommunikation zu erfassen, wie ein Tor-Freiwilliger namens Kaba detaillierte Berichte und Ars Technica berichtete.

Die anfängliche Kompromittierung begann Ende August, als die Angreifer durch die Nutzung eines gültigen, wiederverwendeten Passworts Zugriff auf einen Tor-Management-Server erhielten. Sie installierten eine Linux-Hintertür namens Ebury, eine seit über einem Jahrzehnt bekannte Bedrohung, die eine persistente Kontrolle ermöglicht. Vom Management-Server aus verbanden sie sich per SSH zu einem weiteren Tor-Server, Switzerland2, und verwendeten dabei einen RSA-Schlüssel, dessen Autorisierungsstatus unerklärt bleibt. Die Kontrolle über Switzerland2 ermöglichte es ihnen, dort ebenfalls Ebury zu installieren und Konfigurationen auf zwei vom Server gehosteten Ausgangsknoten zu manipulieren.

Letztlich wurden 333 Ausgangs-Relays verändert. Die Angreifer konfigurierten diese Knoten so um, dass SSH-Verbindungen über Port 22 auf einen von zwölf angreiferkontrollierten Servern umgeleitet wurden. Nutzer, die SSH-Hostschlüssel-Warnungen ignorierten, gaben unbeabsichtigt ihre Passwörter preis. Dies erlaubte es den Angreifern, Anmeldeinformationen zu erfassen, alle eingegebenen Befehle zu beobachten und anschließend die Zielserver mit der Ebury-Hintertür zu infizieren.

Zusätzlich blockierten die kompromittierten Ausgangsknoten verschlüsselte E-Mail-Ports (25, 465, 587, 993 und 995), während unverschlüsselter E-Mail-Verkehr zugelassen wurde. Diese Maßnahme versuchte, E-Mail-Dienste zu zwingen, auf unverschlüsselte Verbindungen zurückzufallen, wodurch Angreifer potenziell auf Klartextnachrichten zugreifen konnten. Ob diese Downgrades tatsächlich erfolgreich waren, ist jedoch unklar.

Kaba entwickelte Werkzeuge, um das Netzwerk zu überwachen: Er überprüfte alle rund 3.000 Tor-Ausgangsknoten auf manipulierte SSH-Fingerprints und setzte einen Honeypot ein, der beobachtete, wie Angreifer Anmeldeversuche und Installationen durchführten. Trotz dieser Maßnahmen bleiben mehrere Fragen offen: Die genaue Methode des breiten Serverzugriffs der Angreifer ist unbekannt, ebenso wie der Grund, weshalb Switzerland2 einen nicht autorisierten RSA-Schlüssel akzeptierte. Die Attribution bleibt unsicher, doch die Nutzung von Ebury und der Fokus auf unverschlüsselte Daten deuten auf eine finanziell motivierte kriminelle Gruppe hin.

Dieser Vorfall unterstreicht wichtige Sicherheitslehren für Tor-Nutzer und Betreiber. Eine starke Passworthygiene ist unerlässlich, ebenso das Deaktivieren der passwortbasierten SSH-Authentifizierung zugunsten sichererer SSH-Schlüssel. E-Mail-Anbieter und Nutzer sollten ihre Systeme so konfigurieren, dass unverschlüsselte Verbindungen blockiert werden, um Datenabfang zu verhindern. Das Ereignis hebt die Bedeutung von Defense in Depth hervor, um großflächige Netzwerkkompromittierungen zu bekämpfen und sensible Kommunikationen über Anonymitätsnetzwerke wie Tor zu schützen.