Hakeri kompromitēja 333 Tor izejas mezglus, lai noklausītos SSH un šifrēta e-pasta datplūsmu

Attēls: Ars Technica · Avots

2026. gada oktobrī trīs dienu laikā uzbrucēji pārņēma kontroli pār 333 Tor izejas mezgliem, pāradresējot SSH savienojumus uz ļaunprātīgiem serveriem un atļaujot noklausīties nešifrētu e-pastu, izmantojot vājās paroles atkārtotas izmantošanas un serveru drošības nepilnības, ziņo pētnieki.

2026. gada oktobra sākumā Tor tīklā notika plašs drošības pārkāpums, kad nezināmi hakeri trīs dienu laikā pārņēma kontroli pār 333 Tor izejas mezgliem. Uzbrucēji manipulēja ar šiem mezgliem, lai noklausītos SSH trafiku un noķertu nešifrētu e-pasta komunikāciju, kā aprakstījis Tor brīvprātīgais Kaba un ziņojusi Ars Technica.

Sākotnējais kompromis sākās augusta beigās, kad uzbrucēji guva piekļuvi Tor pārvaldības serverim, izmantojot derīgu, atkārtoti lietotu paroli. Viņi instalēja Linux aizmugures durvis Ebury, draudu, kas atklāts vairāk nekā pirms desmit gadiem, ļaujot pastāvīgu kontroli. No šī pārvaldības servera viņi caur SSH pieslēdzās citam Tor serverim, Switzerland2, izmantojot RSA atslēgu, kuras autorizācijas statuss nav izskaidrots. Kontrole pār Switzerland2 ļāva viņiem arī tur instalēt Ebury un manipulēt ar konfigurācijām divos izejas mezglos, kas mitināti šajā serverī.

Kopumā tika modificēti 333 izejas mezgli. Uzbrucēji pārkonfigurēja šos mezglus, lai pāradresētu SSH savienojumus portā 22 uz vienu no divpadsmit uzbrucēju kontrolētajiem serveriem. Lietotāji, kas ignorēja SSH saimniekdatora atslēgas maiņas brīdinājumus, netīšām nodrošināja savu paroli uzbrucējiem. Tas ļāva zagļiem iegūt pieteikšanās datus, vērot visas ievadītās komandas un vēlāk inficēt mērķa serverus ar Ebury aizmugures durvīm.

Turklāt kompromitētie izejas mezgli bloķēja šifrēta e-pasta portus (25, 465, 587, 993 un 995), kamēr ļāva nešifrētam e-pastam, tādējādi mēģinot piespiest e-pasta pakalpojumus pāriet uz nešifrētiem savienojumiem, dodot iespēju uzbrucējiem piekļūt vienkārštekstam. Tomēr nav skaidrs, vai šāds pārejas process veiksmīgi notika.

Kaba izstrādāja rīkus tīkla uzraudzībai, pārbaudot apmēram 3000 Tor izejas mezglu SSH pirkstu nospiedumu izmaiņas un uzstādīja medus mucu, kas novēroja uzbrucēju mēģinājumus pieteikties un instalēt programmatūru. Neskatoties uz šiem centieniem, daudzi jautājumi paliek neatbildēti: rindu piekļuves plašuma iegūšanas metode nav zināma, kā arī nav saprotams, kāpēc Switzerland2 pieņēma neatļautu RSA atslēgu. Uzbrukuma autori nav skaidri identificēti, bet Ebury izmantošana un mērķēšana uz nešifrētiem datiem liecina par finansiāli motivētu noziedzīgu grupu.

Šis incidents uzsver būtiskas drošības mācības Tor lietotājiem un operatoriem. Nepieciešama stingra paroles higiēna un jāizslēdz paroles autentifikācija SSH labākai drošībai izmantojot SSH atslēgas. E-pasta pakalpojumu sniedzēji un lietotāji būtu jāiestata, lai noraidītu nešifrētus savienojumus datu noklausīšanās novēršanai. Šis gadījums izgaismo dziļās aizsardzības nozīmi, lai novērstu plaša mēroga tīkla kompromitēšanu un aizsargātu sensitīvu saziņu anonimitātes tīklos, piemēram, Tor.