Hackere kompromitterer 333 Tor-exitnoder for å avlytte SSH og ukryptert e-posttrafikk

Bilde: Ars Technica · Kilde

I løpet av tre dager i oktober 2026 kapret angripere 333 Tor-exitnoder, omdirigerte SSH-tilkoblinger til ondsinnede servere og muliggjorde avlytting av ukryptert e-post, ved å utnytte svakheter i gjenbruk av passord og serveresikkerhet, ifølge forskningsrapporter.

Tidlig i oktober 2026 ble Tor-nettverket rammet av et omfattende sikkerhetsbrudd, der ukjente angripere tok kontroll over 333 Tor-exitnoder i løpet av tre dager. Angriperne manipulerte disse nodene for å avlytte SSH-trafikk og fange opp ukryptert e-postkommunikasjon, noe en Tor-frivillig kjent som Kaba beskrev og som ble rapportert av Ars Technica.

Det første kompromisset startet sent i august da angriperne fikk tilgang til en Tor-administrasjonsserver ved å bruke et gyldig, gjenbrukt passord. De installerte en Linux-bakdør kalt Ebury, en trussel som har vært kjent i over ti år, noe som ga vedvarende kontroll. Fra denne administrasjonsserveren koblet de seg via SSH til en annen Tor-server, Switzerland2, ved bruk av en RSA-nøkkel hvis autorisasjonsstatus fortsatt er ukjent. Kontroll over Switzerland2 gjorde dem i stand til å installere Ebury der og manipulere konfigurasjonen på to exitnoder som ble hostet av denne serveren.

Til slutt ble 333 exit-reléer endret. Angriperne omkonfigurerte disse nodene til å omdirigere SSH-tilkoblinger over port 22 til en av tolv angriperkontrollerte servere. Brukere som ignorerte advarsler om endringer i SSH-vertsnøkkelen ga utilsiktet fra seg passordene sine. Dette gjorde det mulig for angriperne å fange innloggingsinformasjon, observere alle tastede kommandoer og deretter infisere de målrettede serverne med Ebury-bakdøren.

I tillegg blokkerte de kompromitterte exitnodene krypterte e-postporter (25, 465, 587, 993 og 995), samtidig som de tillot ukryptert e-posttrafikk. Denne konfigurasjonen forsøkte å tvinge e-posttjenester til nedgradering til ukrypterte tilkoblinger, noe som kunne gi angriperne tilgang til klartekstmeldinger. Det er imidlertid uklart om slike nedgraderinger lyktes.

Kaba utviklet verktøy for å overvåke nettverket, hvor alle cirka 3 000 Tor-exitnoder ble jevnlig sjekket for manipulerte SSH-fingeravtrykk, og en honeypot ble satt opp som observerte angripernes forsøk på innlogging og installasjoner. Til tross for disse innsatsene gjenstår flere ubesvarte spørsmål: den eksakte metoden for angripernes omfattende servertilgang er ukjent, det samme er hvorfor Switzerland2 aksepterte en uautorisert RSA-nøkkel. Tilskrivningen er også usikker, men bruk av Ebury og målretting mot ukrypterte data tyder på en økonomisk motivert kriminell gruppe.

Denne hendelsen fremhever viktige sikkerhetslærdommer for Tor-brukere og operatører. God passordhygiene er essensielt, sammen med å deaktivere passordbasert SSH-autentisering til fordel for sikrere SSH-nøkler. E-postleverandører og brukere bør konfigurere systemene sine til å avvise ukrypterte tilkoblinger for å forhindre dataavlytting. Hendelsen understreker viktigheten av dyp forsvar for å motvirke omfattende nettverkskompromittering og beskytte sensitiv kommunikasjon over anonymitetsnettverk som Tor.