Am Freitag, dem 2. Oktober 2026, um 9:35 Uhr begannen 333 infizierte Exit-Nodes eine koordinierte Kampagne, um SSH-Verbindungen abzufangen und so viele unverschlüsselte Daten wie möglich zu sammeln. Tor betreibt etwa 3000 Exit-Relays, wobei rund 10 % unter der Kontrolle der Angreifer standen. Die Angreifer hatten sich im August Zugriff auf die Server verschafft und still und leise die Ebury-1.8.3-Payload installiert, eine OpenSSH-Backdoor und ein Credential-Stealer für Linux.
Der Angriff verfolgte zwei Hauptziele: das Sammeln möglichst vieler unverschlüsselter E-Mail-Daten und das Abfangen von SSH-Verbindungen in einem Man-in-the-Middle-Angriff. Durch das Blockieren bestimmter Ports verarbeiteten die kompromittierten Exit-Nodes nur unverschlüsselte E-Mails. Der Datenverkehr auf Port 22 wurde zu einem von 12 SSH-Abfangservern umgeleitet. Nutzer, die die Warnung zum Host-Schlüssel ignorierten, verloren ihre Passwörter, ihre Befehle wurden beobachtet, und ihre Server wurden mit Ebury infiziert.
Der Autor meldete die Ergebnisse am Freitagabend dem Netzwerk-Gesundheitsteam des Tor-Projekts. Das Team bestätigte, dass der Angriff neu war, und kontaktierte die Betreiber der betroffenen Relays. Bis Sonntag, den 4. Oktober, begannen die Betreiber, ihre Exit-Nodes abzuschalten, und die Relays wurden als Bad Exit markiert, damit Clients sie nicht mehr für den Ausgang des Datenverkehrs nutzten. Die Angreifer starteten am Montag einige Relays neu, doch da sie bereits markiert waren, konnten sie nur noch als Middle-Relays dienen. Alle infizierten Server wurden schließlich abgeschaltet, und am 4. Oktober zeigte sich in den Netzwerkmetriken ein deutlicher Einbruch.
Laut dem Team erlangte der Angreifer Zugriff auf Linux-Hosts und bearbeitete die torrc-Dateien von Nicht-Exit-Relays, um sie für den SSH-Angriff in Exit-Nodes umzuwandeln. Der Autor fand die infizierten Nodes, indem er jeden der rund 3000 Exit-Relays mit exitmap testete und prüfte, ob die SSH-Fingerprints bei festgepinnten Verbindungen übereinstimmten.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing