Häkkerid kompromiteerisid 333 Tor väljundsolmu, et pealt kuulata SSH ja krüpteerimata e-kirju

Pilt: Ars Technica · Allikas

2026. aasta oktoobris kolme päeva jooksul röövisid ründajad 333 Tor väljundsolmu, suunates SSH ühendused pahatahtlikele serveritele ja võimaldades pealt kuulata krüpteerimata e-kirju, kasutades ära parooli taaskasutuse ja serverite turvaprobleeme, teatavad uurijad.

2026. aasta oktoobri alguses toimus Tor võrgus ulatuslik turvarikkumine, kus tundmatud ründajad röövisid kolme päeva jooksul 333 Tor väljundsolmu. Ründajad manipuleerisid neid sõlme, et pealt kuulata SSH liiklust ja tabada krüpteerimata e-kirju, mida kirjeldas Tor vabatahtlik nimega Kaba ning teatas Ars Technica.

Esialgne kompromiteerimine algas augusti lõpus, kui ründajad said ligipääsu Tor haldusserverile, kasutades kehtivat ja taaskasutatud parooli. Nad paigaldasid Linuxi tagauksena tuntud Ebury trooja, mis avastati enam kui kümme aastat tagasi, võimaldades püsivat kontrolli. Sellest haldusserverist ühenduti SSH kaudu teise Tor serveriga, Switzerland2, kasutades RSA võtit, mille autoriseerimise põhjus jääb teadmata. Switzerland2 kontroll võimaldas neil paigaldada sinna Ebury ja muuta konfiguratsioone kahel selle serveri poolt majutatud väljundsolmul.

Kokku muudeti 333 väljundsolmu. Ründajad seadsid need ümber juhatama SSH ühendused pordil 22 üheteistkümne ründajate kontrolli all oleva serveri poole. Kasutajad, kes ignoreerisid SSH võrguvõtme muutmise hoiatust, andsid tahtmatult oma paroolid kätte. See võimaldas ründajatel tabada sisselogimisteavet, jälgida kõiki trükitud käske ning nakatada sihtserverid seejärel Ebury tagaukuga.

Lisaks blokeerisid kompromiteeritud väljundsolmud krüpteeritud e-posti pordinumbrid (25, 465, 587, 993 ja 995), lubades samas krüpteerimata e-posti liiklust. See oli katsumus sundida e-posti teenuseid kasutama turvamata ühendusi, võimaldades ründajatel pääseda ligi sõnumite tekstile. Siiski ei ole selge, kas sellised downgraded ühendused tegelikult toimusid.

Kaba arendas tööriistad kogu võrgu jälgimiseks, küsitledes ligikaudu 3000 Tor väljundsolmu, tuvastamaks manipuleeritud SSH sõrmejälgi ning paigaldas mesitaru, mis jälgis ründajate sisselogimise ja paigaldamise katseid. Hoolimata nendest pingutustest on mitmeid avatud küsimusi: kuidas ründajad said laiha ligipääsu serveritele, mis on jäänud teadmata, samuti ei ole selge, miks Switzerland2 aktsepteeris volitamata RSA võtit. Ründajate tuvastus on samuti ebakindel, kuid Ebury kasutamine ja krüpteerimata andmete sihtimine viitavad rahalistel põhjustel tegutsevale kuritegelikule grupile.

See intsident tõstab esile olulised turbeõppetunnid Tor kasutajatele ja operaatoritele. Oluline on tugev paroolihügieen ja SSH autentimise puhul tuleks välja lülitada paroolipõhine autentimine eelistatult SSH võtmete kasuks. E-posti teenusepakkujad ja kasutajad peaksid seadistama süsteemid, mis keelavad krüpteerimata ühendused, et vältida andmete pealtkuulamist. Juhtum rõhutab süva kaitse olulisust võimsmate võrgurikkumiste tõrjumisel ja tundlike sidekanalite kaitsmisel anonüümsusvõrkudes nagu Tor.