333 выходных узла Tor использовали для перехвата SSH-паролей
В начале октября 2026 года неизвестные получили контроль над сотнями серверов, работавших в сети Tor, и превратили их выходные узлы в точки перехвата SSH-соединений. Исследователь под псевдонимом kaba обнаружил 2 октября 333 таких реле: соединения через порт 22 перенаправлялись на 12 серверов атакующих. Tor Project начал блокировать подозрительные узлы 4 октября, а к 5 октября они перестали использоваться для выхода трафика. Сколько SSH-паролей было похищено и сколько серверов удалось дополнительно скомпрометировать, неизвестно.Как выходные узлы Tor превратились в точки перехвата
Выходной узел находится в конце обычного маршрута Tor и передает соединение из сети Tor к серверу в открытом интернете. Именно этот участок использовали атакующие. Согласно техническому разбору исследователя kaba, SSH-соединения через зараженные реле перенаправлялись на один из 12 серверов, контролируемых злоумышленниками.При подключении к уже знакомому серверу OpenSSH показывал предупреждение о том, что его host key изменился. Это предупреждение фактически и было защитным барьером атаки: если пользователь прекращал соединение, пароль не передавался перехватчику. Если предупреждение игнорировали и продолжали вход с паролем, учетные данные могли попасть атакующим.
При этом соединение с настоящим сервером продолжало работать. По наблюдениям kaba, посредник мог установить отдельное соединение с целевой машиной и следить за командами пользователя. Во время проверки через SSH-honeypot исследователь также увидел попытку установить на тестовую систему Ebury - известный Linux-бэкдор и похититель учетных данных.
Атака затрагивала не только SSH. Конфигурации части реле менялись так, чтобы ограничивать некоторые почтовые порты и оставлять доступными протоколы, способные передавать данные без полноценного шифрования. Это указывает на попытку собирать и незашифрованный почтовый трафик, однако подтверждений успешного массового перехвата почты пока нет.
Что на самом деле означает цифра 333
На момент исследования в Tor работало около 3000 выходных реле. Поэтому найденные 333 узла составляли примерно десятую часть от их количества. Это не означает, что злоумышленники контролировали десятую часть всей пропускной способности Tor или что каждый из этих узлов успел похитить пароль.Методика kaba тоже дает важное уточнение. Исследователь последовательно проверил выходные узлы с помощью контролируемых SSH-соединений. Около дюжины в момент проверки непосредственно показывали поддельный SSH-ключ, тогда как более 300 других перенаправляли соединения через ту же инфраструктуру из 12 серверов. Именно общая схема перенаправления позволила связать их с кампанией.
Поэтому число 333 корректнее трактовать как количество обнаруженных выходных реле, связанных с вредоносной конфигурацией и инфраструктурой перехвата. Число реально пострадавших пользователей и серверов из этих данных определить нельзя.
Ebury подтвержден не на всех скомпрометированных узлах
Tor Network Health сообщил 5 октября, что несколько операторов обнаружили взлом своих Linux-серверов и несанкционированные изменения torrc. В некоторых случаях машины, ранее не работавшие выходными узлами, переводились в режим exit relay, после чего через них становился возможен перехват SSH.Наиболее подробная картина первоначального проникновения появилась у оператора семейства Quetzalcoatl. В его постмортеме от 7 октября говорится, что Ebury 1.8.3 был обнаружен на двух серверах: управляющей машине и сервере Switzerland2, где работали два Tor-реле.
28 августа атакующий вошел на управляющий сервер с правильным паролем учетной записи с первой попытки и примерно через пять минут получил права root. Оператор установил, что один и тот же пароль использовался для SSH, sudo и шифрования резервной копии, а его копия находилась в открытом виде в служебном скрипте. При этом источник, из которого злоумышленник первоначально получил пароль, так и не установлен.
Эту историю нельзя автоматически переносить на остальные сотни узлов. Для других операторов единый способ первоначального проникновения не доказан. Поэтому утверждать, что Ebury изначально заразил все 333 выходных реле, имеющихся данных недостаточно.
Почему это не означает взлом самого Tor
Опубликованные данные не показывают взлом криптографии Tor или протокола SSH. Атакующие получили контроль над отдельными серверами операторов и манипулировали точкой, где обычное соединение покидает сеть Tor. SSH со своей стороны предупреждал пользователя о смене ключа удаленного сервера. Для кражи пароля требовалось пройти через вредоносный выход и продолжить парольную авторизацию, несмотря на несоответствие ключа.Для Onion Services ситуация принципиально другая. Соединение с адресом .onion не выходит из сети Tor через обычный exit relay, поэтому описанная схема с вредоносным выходным узлом напрямую к таким соединениям не применяется. Архитектуру Onion Services PavRC ранее разбирал в материале о перехвате onion-адреса BlackSprut.
Для администраторов наиболее чувствительный сценарий относится к SSH-подключениям через Tor в период с 2 по 5 октября 2026 года, при которых появлялось неожиданное предупреждение о host key и после него вводился пароль. Такие учетные данные разумно считать потенциально раскрытыми, заменить их с чистого устройства и проверить целевой сервер на признаки постороннего доступа. Использование ключевой аутентификации вместо SSH-паролей существенно ограничивает именно этот способ кражи учетных данных.
Итог
Инцидент с 333 выходными узлами показывает не компрометацию протокола Tor, а риск, возникающий на границе анонимной сети и обычного интернета. Злоумышленникам удалось объединить большое число взломанных серверов в инфраструктуру для перенаправления SSH, а изменение host key было главным внешним признаком атаки.К 5 октября обнаруженные вредоносные выходы были исключены из рабочих маршрутов. Личность атакующих, единый первоначальный вектор взлома всех операторов, число похищенных паролей и количество дополнительно зараженных серверов на момент публикации не установлены.
Редакция PavRC