Hackare komprometterar 333 Tor-exitnoder för att avlyssna SSH och okrypterad e-posttrafik

Bild: Ars Technica · Källa

Under tre dagar i oktober 2026 kapade angripare 333 Tor-exitnoder och omdirigerade SSH-anslutningar till illasinnade servrar samtidigt som de möjliggjorde avlyssning av okrypterad e-post. De utnyttjade svagheter i lösenordsåteranvändning och serverns säkerhet, enligt forskarrapporter.

I början av oktober 2026 pågick ett omfattande säkerhetsintrång mot Tor-nätverket, där okända angripare kapade 333 Tor-exitnoder under en period på tre dagar. Angriparna manipulerade dessa noder för att avlyssna SSH-trafik och fånga okrypterad e-postkommunikation, enligt vad en Tor-volontär med aliaset Kaba detaljerade och som rapporterades av Ars Technica.

Det initiala intrånget började i slutet av augusti när angriparna fick tillgång till en Tor-hanteringsserver genom att använda ett giltigt, återanvänt lösenord. De installerade en Linux-bakdörr kallad Ebury, ett hot som upptäcktes för mer än ett decennium sedan, vilket möjliggjorde bestående kontroll. Från denna hanteringsserver kopplade de via SSH till en annan Tor-server, Schweiz2, med hjälp av en RSA-nyckel vars auktoriseringsstatus förblir oklart. Kontroll över Schweiz2 gav dem möjlighet att installera Ebury där och manipulera konfigurationer på två exitnoder som hostades av denna server.

I slutändan påverkades 333 exitrelay. Angriparna konfigurerade om dessa noder för att omdirigera SSH-anslutningar över port 22 till en av tolv servrar under deras kontroll. Användare som ignorerade varningar om förändrade SSH-hostnycklar gav oavsiktligt bort sina lösenord. Detta gjorde det möjligt för angriparna att fånga inloggningsuppgifter, observera alla inmatade kommandon och därefter infektera de målade servrarna med Ebury-bakdörren.

Dessutom blockerade de komprometterade exitnoderna krypterade e-postportar (25, 465, 587, 993 och 995) samtidigt som de tillät okrypterad e-posttrafik. Denna konfiguration försökte tvinga e-posttjänster att nedgradera till okrypterade anslutningar, vilket gav angriparna potentiell åtkomst till klartextmeddelanden. Det är dock oklart om sådana nedgraderingar lyckades.

Kaba utvecklade verktyg för att övervaka nätverket, där alla cirka 3 000 Tor-exitnoder pollingkontrollerades för att upptäcka manipulerade SSH-fingeravtryck och en honeypot sattes upp som observerade angriparnas inloggningsförsök och installationer. Trots dessa insatser kvarstår flera obesvarade frågor: den exakta metoden för angriparnas breda serveråtkomst är okänd, liksom anledningen till att Schweiz2 accepterade en icke-auktoriserad RSA-nyckel. Attributionen är också osäker, men användandet av Ebury och målinriktningen på okrypterad data tyder på en ekonomiskt motiverad kriminell grupp.

Denna incident understryker viktiga säkerhetslärdomar för Tor-användare och operatörer. Stark lösenordshygien är avgörande, liksom att inaktivera SSH-autentisering baserad på lösenord till förmån för säkrare SSH-nycklar. E-postleverantörer och användare bör konfigurera sina system för att avvisa okrypterade anslutningar för att förhindra dataintrång. Händelsen framhäver vikten av djupförsvar för att motverka storskaliga nätverkskompromisser och skydda känslig kommunikation över anonymitetsnätverk såsom Tor.