Hakerzy przejmują 333 węzły wyjściowe Tor, aby przechwycić ruch SSH i niezaszyfrowaną pocztę e-mail

Image: Ars Technica · Source

W ciągu trzech dni października 2026 roku atakujący przejęli 333 węzły wyjściowe Tor, przekierowując połączenia SSH na złośliwe serwery i umożliwiając przechwytywanie niezaszyfrowanej poczty e-mail, wykorzystując słabości w ponownym użyciu haseł i zabezpieczeniach serwerów, według raportów badaczy.

Na początku października 2026 roku doszło do dużego naruszenia bezpieczeństwa w sieci Tor. Nieznani atakujący przejęli 333 węzły wyjściowe Tor w ciągu trzech dni. Atakujący zmanipulowali te węzły, aby przechwycić ruch SSH oraz niezaszyfrowaną komunikację e-mailową, jak szczegółowo opisał wolontariusz Tor znany jako Kaba oraz doniósł serwis Ars Technica.

Początkowy kompromis nastąpił pod koniec sierpnia, kiedy atakujący uzyskali dostęp do serwera zarządzającego Tor, używając ważnego, ponownie używanego hasła. Zainstalowali wtedy tylne drzwi na Linuksie znane jako Ebury, groźbę odkrytą ponad dekadę temu, umożliwiającą stałą kontrolę. Z tego serwera zarządzającego połączyli się przez SSH z innym serwerem Tor o nazwie Switzerland2, wykorzystując klucz RSA, którego autoryzacja pozostaje niewyjaśniona. Kontrola nad Switzerland2 pozwoliła im zainstalować tam Ebury i manipulować konfiguracją dwóch węzłów wyjściowych hostowanych na tym serwerze.

Ostatecznie zmieniono 333 węzły wyjściowe. Atakujący przekonfigurowali te węzły, by przekierowywały połączenia SSH na porcie 22 na jedną z dwunastu serwerów kontrolowanych przez nich. Użytkownicy ignorujący ostrzeżenia o zmianie klucza hosta SSH nieświadomie podawali swoje hasła. Pozwoliło to atakującym na przechwycenie danych logowania, obserwowanie wszystkich wpisywanych poleceń oraz późniejsze zainfekowanie celowanych serwerów tylniemi drzwiami Ebury.

Dodatkowo przejęte węzły wyjściowe blokowały zaszyfrowane porty poczty elektronicznej (25, 465, 587, 993 i 995), jednocześnie dopuszczając niezaszyfrowany ruch e-mailowy. To działanie miało na celu zmuszenie usług e-mail do obniżenia poziomu zabezpieczeń do połączeń niezaszyfrowanych, co umożliwiłoby atakującym dostęp do wiadomości w postaci tekstu jawnego. Jednak nie jest jasne, czy takie obniżenie zabezpieczeń faktycznie się powiodło.

Kaba opracował narzędzia do monitorowania sieci, odpytywał wszystkie około 3000 węzłów wyjściowych Tor, aby wykryć zmienione odciski palców SSH i stworzył honeypot obserwujący próby logowania i instalacji ze strony atakujących. Mimo tych działań pozostaje wiele pytań bez odpowiedzi: dokładna metoda szerokiego dostępu do serwerów atakujących jest nieznana, podobnie jak powód, dla którego Switzerland2 zaakceptowało nieautoryzowany klucz RSA. Przypisanie ataku jest niepewne, chociaż użycie Ebury i celowanie w niezaszyfrowane dane sugerują finansowo zmotywowaną grupę przestępczą.

Ten incydent ukazuje kluczowe lekcje bezpieczeństwa dla użytkowników i operatorów Tor. Konieczna jest silna higiena haseł, a także wyłączenie uwierzytelniania SSH opartego na hasłach na rzecz bezpieczniejszych kluczy SSH. Dostawcy i użytkownicy poczty powinni konfigurować swoje systemy tak, aby odrzucały połączenia niezaszyfrowane, aby zapobiec przechwytywaniu danych. Wydarzenie to podkreśla znaczenie wielowarstwowej obrony w walce z dużymi naruszeniami sieci oraz ochrony wrażliwych komunikatów w sieciach anonimizujących takich jak Tor.