Хакеры скомпрометировали 333 выходных узла Tor для перехвата SSH и незашифрованного почтового трафика

Image: Ars Technica · Source

В течение трёх дней октября 2026 года злоумышленники захватили 333 выходных узла Tor, перенаправляя SSH-соединения на вредоносные серверы и обеспечивая перехват незашифрованной электронной почты, используя уязвимости в повторном использовании паролей и безопасности серверов, согласно отчетам исследователей.

В начале октября 2026 года произошло масштабное нарушение безопасности в сети Tor: неизвестные злоумышленники захватили 333 выходных узла Tor за три дня. Атакующие манипулировали этими узлами, чтобы перехватывать SSH-трафик и захватывать незашифрованные электронные сообщения, как подробно описал волонтёр Tor по имени Kaba и сообщил Ars Technica.

Первоначальное проникновение произошло в конце августа, когда злоумышленники получили доступ к серверу управления Tor, используя действительный, повторно применяемый пароль. Они установили Linux-бэкдор под названием Ebury, обнаруженный более десяти лет назад, что обеспечило им постоянный контроль. С этого сервера управления они через SSH подключились к другому серверу Tor — Switzerland2, используя RSA-ключ, статус авторизации которого остаётся невыясненным. Контроль над Switzerland2 позволил им установить там Ebury и менять настройки двух выходных узлов, размещённых на этом сервере.

В итоге было изменено 333 выходных реле. Атакующие перенастроили эти узлы, чтобы перенаправлять SSH-подключения на порту 22 к одному из двенадцати контролируемых ими серверов. Пользователи, игнорировавшие предупреждения о смене SSH-ключа хоста, невольно предоставляли свои пароли. Это позволило злоумышленникам перехватывать учетные данные для входа, видеть все вводимые команды и затем заражать целевые серверы бэкорами Ebury.

Кроме того, скомпрометированные выходные узлы блокировали зашифрованные почтовые порты (25, 465, 587, 993 и 995), но разрешали незашифрованный почтовый трафик. Это было попыткой заставить почтовые сервисы перейти на незашифрованное соединение, предоставляя атакующим потенциальный доступ к открытым сообщениям. Однако неизвестно, насколько успешно происходил такой даунгрейд.

Kaba разработал инструменты для мониторинга сети, опрашивая около 3000 выходных узлов Tor, чтобы обнаруживать изменённые SSH-отпечатки, а также задействовал honeypot, фиксирующий попытки атакующих входа в систему и установки. Несмотря на это, остаётся много вопросов: точный способ широкого доступа атакующих к серверам неизвестен, как и причина, по которой Switzerland2 принял неавторизованный RSA-ключ. Также нет уверенности в том, кто стоит за атакой, хотя использование Ebury и цель в незашифрованных данных свидетельствуют о финансово мотивированной преступной группе.

Этот инцидент подчёркивает важные уроки безопасности для пользователей и операторов Tor. Необходима строгая гигиена паролей, а также отключение аутентификации SSH на основе пароля в пользу более безопасных SSH-ключей. Провайдеры и пользователи почты должны настраивать свои системы так, чтобы отклонять незашифрованные подключения во избежание перехвата данных. Событие подчёркивает важность многоуровневой защиты для борьбы с крупномасштабными сетевыми компромиссами и обеспечения безопасности конфиденциальной коммуникации в анонимных сетях, таких как Tor.