Hakkerit kaaposivat 333 Torin lähtösolmua siepatakseen SSH- ja salaamattoman sähköpostiliikenteen

Kuva: Ars Technica · Lähde

Lokakuussa 2026 kolmen päivän aikana hyökkääjät kaapasivat 333 Torin lähtösolmua, ohjaten SSH-yhteydet haitallisiin palvelimiin ja mahdollistaen salaamattoman sähköpostiliikenteen sieppauksen. Tämä hyödyntäen salasanojen uudelleenkäyttöä ja palvelinten heikkoja suojauskohtia, tutkijoiden raporttien mukaan.

Lokakuun alussa 2026 Tor-verkkoa kohtasi laajamittainen tietoturvaloukkaus, kun tuntemattomat hyökkääjät ottivat hallintaansa 333 Torin lähtösolmua kolmen päivän aikana. Hyökkääjät manipuloivat näitä solmuja siepatakseen SSH-liikennettä ja kaapatakseen salaamattomia sähköpostiyhteyksiä, kuten Torin vapaaehtoinen Kaba kuvasi ja Ars Technica raportoi.

Ensimmäinen murto tapahtui elokuun lopulla, kun hyökkääjät pääsivät käsiksi Torin hallintapalvelimeen käyttämällä kelvollista, uudelleenkäytettyä salasanaa. He asentivat Linux-taustatiedoston Eburyn, yli kymmenen vuotta vanhan uhkan, joka mahdollisti jatkuvan hallinnan. Tästä hallintapalvelimesta he yhdistyivät SSH:lla toiseen Torin palvelimeen, Switzerland2:een, käyttäen RSA-avainta, jonka valtuutusta ei ole selitetty. Hallinta Switzerland2:ssa mahdollisti Eburyn asentamisen sinne sekä kahden kyseisen palvelimen ylläpitämän lähtösolmun konfiguraatioiden manipuloinnin.

Yhteensä 333 lähtösolmua muutettiin. Hyökkääjät konfiguroivat nämä solmut ohjaamaan SSH-yhteydet portista 22 kahdentoista hyökkääjävalvotun palvelimen suuntaan. Käyttäjät, jotka ohittivat varoitukset SSH-isäntäavaimen muutoksesta, paljastivat tahattomasti salasanansa. Tämä mahdollisti kirjautumistietojen kaappauksen, kaikkien kirjoitettujen komentojen tarkkailun sekä kohdepalvelinten saastuttamisen Ebury-taustatiedostolla.

Lisäksi kaapatut lähtösolmut estivät salattujen sähköpostiliikenneporttien (25, 465, 587, 993 ja 995) käytön, sallien ainoastaan salaamattoman postiliikenteen. Tämä järjestely pyrki pakottamaan sähköpostipalvelut alentamaan reitityksen salaamattomiin, jolloin hyökkääjillä oli mahdollisuus päästä käsiksi selväkielisiin viesteihin. On kuitenkin epäselvää, onnistuiko tällainen alentaminen käytännössä.

Kaba kehitti työkaluja verkon seurantaan, tarkistaen satunnaisesti noin 3 000 Torin lähtösolmua havaitakseen manipuloinnit SSH-sormenjäljissä, sekä pystyi honeypotillaan seuraamaan hyökkääjiä, jotka yrittivät kirjautua ja asentaa haittaohjelmaa. Näistä toimenpiteistä huolimatta useat kysymykset jäivät avoimiksi: tarkka hyökkääjien laajamittaisen pääsyn menetelmä ei ole tiedossa, kuten ei myöskään syytä Switzerland2:n RSA-avaimen hyväksymiseen ilman valtuutusta. Hyökkäysten alkuperää ei ole vahvistettu, mutta Eburyn käyttö ja salaamattoman tiedon kohdentaminen viittaavat taloudellisesti motivoituneeseen rikollisryhmään.

Tapaus korostaa tärkeitä tietoturvaa koskevia oppitunteja Torin käyttäjille ja ylläpitäjille. Vahva salasanojen hallinta on välttämätöntä, samoin SSH:n salasana-autentikoinnin poiskytkeminen ja turvallisempien SSH-avainten suosiminen. Sähköpostipalveluiden ja -käyttäjien tulisi määrittää järjestelmänsä hylkäämään salaamattomat yhteydet tietojen sieppauksen estämiseksi. Tapahtuma korostaa syvällisen puolustuksen ja monikerroksisen suojan tärkeyttä suuressa mittakaavassa tehtyjen verkon haltuunottojen torjumiseksi ja arkaluontoisen viestinnän turvaamiseksi anonyymiverkoissa, kuten Tor.