Hackers comprometen 333 nodos de salida Tor para interceptar tráfico SSH y correos electrónicos no cifrados

Image: Ars Technica · Source

Durante tres días en octubre de 2026, atacantes secuestraron 333 nodos de salida Tor, redirigiendo conexiones SSH a servidores maliciosos y permitiendo la interceptación de correos electrónicos no cifrados, explotando debilidades en la reutilización de contraseñas y la seguridad de servidores, según informes de investigadores.

A principios de octubre de 2026, una brecha de seguridad a gran escala afectó a la red Tor, cuando atacantes desconocidos secuestraron 333 nodos de salida Tor durante un período de tres días. Los atacantes manipularon estos nodos para interceptar el tráfico SSH y capturar comunicaciones de correo electrónico no cifradas, como detalló un voluntario de Tor conocido como Kaba y reportó Ars Technica.

La compromisión inicial comenzó a finales de agosto cuando los atacantes accedieron a un servidor de gestión de Tor usando una contraseña válida reutilizada. Instalaron una puerta trasera de Linux conocida como Ebury, una amenaza descubierta hace más de una década, que permitía control persistente. Desde este servidor de gestión, se conectaron vía SSH a otro servidor Tor, Switzerland2, utilizando una clave RSA cuya autorización sigue sin explicación. El control sobre Switzerland2 les permitió instalar Ebury allí y manipular configuraciones en dos nodos de salida alojados por este servidor.

En última instancia, 333 relés de salida fueron alterados. Los atacantes reconfiguraron estos nodos para redirigir conexiones SSH por el puerto 22 a uno de doce servidores controlados por los atacantes. Los usuarios que ignoraron las advertencias de cambio de clave de host SSH inadvertidamente proporcionaron sus contraseñas. Esto permitió a los atacantes capturar credenciales de acceso, observar todos los comandos tipeados y posteriormente infectar los servidores objetivo con la puerta trasera Ebury.

Además, los nodos de salida comprometidos bloquearon los puertos de correo electrónico cifrados (25, 465, 587, 993 y 995) mientras permitían el tráfico de correo electrónico no cifrado. Esta configuración intentó forzar a los servicios de correo electrónico a degradar a conexiones no cifradas, permitiendo potencialmente a los atacantes acceder a mensajes en texto plano. Sin embargo, no está claro si tales degradaciones ocurrieron exitosamente.

Kaba desarrolló herramientas para monitorear la red, sondeando los aproximadamente 3,000 nodos de salida Tor para detectar las huellas digitales SSH manipuladas y desplegando un honeypot que observó a los atacantes intentando inicios de sesión e instalaciones. A pesar de estos esfuerzos, persisten varias preguntas abiertas: el método exacto para el amplio acceso a servidores de los atacantes sigue siendo desconocido, al igual que la razón por la cual Switzerland2 aceptó una clave RSA no autorizada. La atribución también es incierta, aunque el uso de Ebury y el objetivo sobre datos no cifrados sugieren un grupo criminal motivado financieramente.

Este incidente destaca lecciones críticas de seguridad para usuarios y operadores de Tor. La higiene robusta de contraseñas es esencial, así como deshabilitar la autenticación SSH basada en contraseñas en favor de claves SSH más seguras. Los proveedores y usuarios de correo electrónico deben configurar sus sistemas para rechazar conexiones no cifradas para prevenir la intercepción de datos. El evento subraya la importancia de una defensa en profundidad para combatir compromisos a gran escala en redes y proteger comunicaciones sensibles en redes de anonimato como Tor.