Le vendredi 2 octobre 2026, à 9 h 35, 333 nœuds de sortie infectés ont lancé une campagne coordonnée pour intercepter les connexions SSH et collecter un maximum de données non chiffrées. Tor exploite environ 3 000 relais de sortie, dont environ 10 % étaient sous le contrôle des attaquants. Ces derniers avaient obtenu l'accès aux serveurs en août et déployé discrètement la charge utile Ebury 1.8.3, une porte dérobée OpenSSH et un voleur d'identifiants pour Linux.
L'attaque poursuivait deux objectifs principaux : recueillir le maximum de trafic de messagerie non chiffré et intercepter les connexions SSH dans une attaque de type « homme du milieu ». En bloquant certains ports, les nœuds de sortie compromis ne traitaient que le courrier non chiffré. Le trafic du port 22 était redirigé vers l'un des 12 serveurs d'interception SSH. Les utilisateurs qui ignoraient l'avertissement de clé d'hôte voyaient leurs mots de passe volés, leurs commandes observées et leurs serveurs infectés par Ebury.
L'auteur a signalé ses découvertes à l'équipe de santé du réseau du projet Tor le vendredi soir. L'équipe a confirmé que l'attaque était nouvelle et a contacté les opérateurs des relais concernés. Dès le dimanche 4 octobre, les opérateurs ont commencé à arrêter leurs nœuds de sortie, et les relais ont été marqués comme Bad Exit afin que les clients cessent de les utiliser pour sortir le trafic. Les attaquants ont redémarré certains relais le lundi, mais, déjà signalés, ceux-ci ne pouvaient servir que de relais intermédiaires. Tous les serveurs infectés ont finalement été arrêtés, et une nette baisse des indicateurs du réseau est apparue le 4 octobre.
L'équipe a indiqué que l'attaquant avait accédé aux hôtes Linux et modifié les fichiers torrc des relais non sortants pour en faire des nœuds de sortie destinés à l'attaque SSH. L'auteur a trouvé les nœuds infectés en testant chacun des quelque 3 000 relais de sortie avec exitmap, en vérifiant si les empreintes SSH correspondaient lors de connexions épinglées.
Source: Hacker News · Résumé par HeadlinesBriefing