333 nœuds de sortie Tor piratés pour intercepter le trafic SSH et récupérer des e-mails en clair
ars ·
À la fin du mois d'août et au début du mois d'octobre 2026, des pirates informatiques non identifiés ont compromis 333 nœuds de sortie Tor pour intercepter des données sensibles. L'attaque a commencé lorsqu'un intrus a utilisé un mot de passe réutilisé pour accéder à un serveur de gestion Tor et y a installé le backdoor Ebury sur des systèmes Linux. À partir de là, les attaquants ont pris le contrôle d'un deuxième serveur nommé Switzerland2 et ont reconfiguré de nombreux relais de sortie. Ils ont redirigé le trafic SSH via le port 22 vers douze serveurs contrôlés par les attaquants, capturant les mots de passe des utilisateurs qui ignoraient les avertissements concernant les clés d'hôte. Parallèlement, les nœuds détournés bloquaient les ports de messagerie chiffrée tout en autorisant les connexions non chiffrées, permettant ainsi le vol de messages en clair. Un bénévole de Tor a identifié la compromission en sondant les nœuds de sortie et en mettant en place des poternes pour observer l'activité malveillante. Les enquêteurs soupçonnent qu'un groupe criminel motivé par le profit est responsable de cet incident, bien que la méthode exacte permettant de contrôler autant de serveurs reste inconnue. Cet événement souligne l'importance des mesures de défense en profondeur, telles que la désactivation de l'authentification par mot de passe pour SSH et le renforcement des protocoles de messagerie chiffrée.
ars