333 Tor-Exit-Knoten gehackt, um SSH-Verkehr abzufangen und Klartext-E-Mails zu stehlen
ars ·
Ende August und Anfang Oktober 2026 kompromittierten unbekannte Hacker 333 Tor-Exit-Knoten, um sensible Daten abzufangen. Der Angriff begann, als ein Eindringling mit einem wiederverwendeten Passwort auf einen Tor-Verwaltungsserver zugriff und den Ebury-Backdoor auf Linux-Systemen installierte. Von dort aus erlangten die Angreifer die Kontrolle über einen zweiten Server namens Switzerland2 und konfigurierten zahlreiche Exit-Relays neu. Sie leiteten SSH-Traffic über Port 22 zu zwölf von den Angreifern kontrollierten Servern weiter und fingen Passwörter von Nutzern ab, die Warnungen zum Host-Schlüssel ignorierten. Gleichzeitig blockierten die übernommenen Knoten verschlüsselte E-Mail-Ports, ließen jedoch unverschlüsselte Verbindungen zu, was den Diebstahl von Klartext-Nachrichten ermöglichte. Ein Tor-Freiwilliger entdeckte die Kompromittierung, indem er Exit-Knoten abfragte und Honeypots einrichtete, um die bösartigen Aktivitäten zu beobachten. Ermittler vermuten, dass eine finanziell motivierte kriminelle Vereinigung hinter dem Vorfall steckt, obwohl die genaue Methode zur Steuerung so vieler Server unklar bleibt. Das Ereignis unterstreicht die Bedeutung von Defense-in-Depth-Maßnahmen, wie das Deaktivieren der Kennwortauthentifizierung für SSH und die Durchsetzung verschlüsselter E-Mail-Protokolle.
ars