Am 20. Oktober 2026 berichtete der Tor-Freiwillige Kaba, ein Scan von rund 3.000 Tor-Ausgangsrelays habe 333 Relays gefunden, die SSH-Verbindungen zu zwölf Abfangservern umleiteten. Die Kampagne lief den datierten Angaben zufolge vom 2. bis zum 5. Oktober. Sie betraf einen Teil der Ausgangsrelays, nicht das gesamte Tor-Netzwerk.
Was die Zahlen zu den Tor-Relays aussagen
Kaba prüfte die Relays mit dem Programm exitmap und zwei Testservern. Dabei verglich er den SSH-Host-Key, also den Schlüssel, mit dem sich ein Server gegenüber einem SSH-Client ausweist, und prüfte, ob die Verbindung tatsächlich vom ausgewählten Exit-Relay oder von einem Abfangserver kam. Sein Scan ergab 333 SSH-Umleitungen.
Eine separate Auswertung von Verzeichnisdaten zählte 377 Relays mit einem passenden Muster in ihrer Exit-Policy, den Regeln dafür, welche Verbindungen ein Relay weiterleitet. Diese Zahl beschreibt Policy-Treffer, nicht die von Kaba getesteten SSH-Umleitungen.
| Messung | Anzahl der Relays | Ermittlung | Was die Zahl beschreibt |
| SSH-Umleitungen | 333 | Kaba testete rund 3.000 Relays mit exitmap und prüfte Host-Key sowie Verbindungsquelle. | Im Test festgestellte Weiterleitungen zu zwölf Abfangservern. |
| Passende Exit-Policy-Muster | 377 | Separate Auswertung von Verzeichnisdaten. | Relays mit einem passenden Regelmuster, nicht dieselbe Messung wie der SSH-Scan. |
Wie die Umleitung SSH-Passwörter gefährden konnte
Ein veränderter Host-Key löst bei einer bereits bekannten Verbindung eine SSH-Warnung aus. Beim ersten Kontakt mit einem Server kann der Client dagegen regulär fragen, ob der angezeigte Schlüssel akzeptiert werden soll. Für den beschriebenen Passwortdiebstahl musste eine Person den Schlüssel des Abfangservers akzeptieren und anschließend ihr Passwort eingeben. Kaba beobachtete bei einem Abfangserver den ED25519-Fingerabdruck SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E.
Die Prüfung des Server-Host-Keys ist etwas anderes als die Anmeldung mit einem öffentlichen Schlüssel. Die Signatur für eine SSH-Anmeldung mit Public Key ist an die jeweilige Sitzung gebunden und lässt sich in diesem Angriff nicht einfach beim echten Server wiederverwenden. Die SSH-Authentifizierungsspezifikation RFC 4252 beschreibt diesen Protokollmechanismus. Eine Verbindung zu einem Onion-Dienst verlässt das Tor-Netzwerk nicht über ein Exit-Relay; die gemeldete Umleitung betraf SSH-Verbindungen zu Zielen außerhalb von Tor.
Was die Änderungen an den E-Mail-Ports bewirkten
Die veränderte Exit-Policy auf zwei Switzerland2-Relays blockierte die Ports 25, 465, 587, 993 und 995, ließ aber Verbindungen über die Klartext-fähigen POP3- und IMAP-Ports 110 und 143 zu. Dadurch konnten Mailverbindungen einem Downgrade auf unverschlüsselte Übertragung ausgesetzt sein. Ein erfolgreicher Downgrade oder abgefangene E-Mail-Nachrichten sind nicht bestätigt.
Was Zimmer auf zwei Servern feststellte
Der Relay-Betreiber Zimmer datierte den ersten Zugriff auf seinen Verwaltungsserver auf den 28. August 2026. Ein wiederverwendetes Passwort verschaffte dem Angreifer laut Zimmer innerhalb von fünf Minuten Root-Zugriff. Dasselbe Passwort war für den SSH-Zugang, sudo und die Verschlüsselung eines Backups verwendet worden; auf dem öffentlich erreichbaren Verwaltungsserver war zudem die Anmeldung per SSH-Passwort aktiviert. Von dort aus gelangte der Angreifer laut Zimmer auf den Server Switzerland2.
Zimmer meldete Ebury 1.8.3, eine Schadsoftware für Linux- und OpenSSH-Systeme, auf diesen beiden untersuchten Servern. Sein Bericht bezieht sich auf diese Hosts und belegt keine Infektion sämtlicher 333 umgeleiteter Relays. Bei den beiden Servern fehlten laut Zimmer mehrere der vom Tor Project genannten Anzeichen, darunter NAT-Umleitungen und veränderte Tor-Binärdateien; Paketprüfungen erkannten Ebury ebenfalls nicht.
Welche Schritte das Tor Project Relay-Betreibern empfahl
Das Tor Project veröffentlichte am 5. Oktober 2026 eine Sicherheitsmitteilung für Betreiber. Sie rät dazu, die Tor-Konfiguration samt eingebundenen Dateien, Exit-Policy und Netzwerkregeln zu prüfen. Betreiber sollten außerdem Prozesse und ausgehende Verbindungen, die Integrität installierter Pakete sowie Benutzerkonten, Schlüssel, Cronjobs und systemd-Dienste untersuchen.
Bei einem Verdacht auf eine Kompromittierung empfiehlt das Tor Project, das Relay offline zu nehmen, Datenträger und Protokolle zu sichern und das System neu aufzusetzen. Danach sollen Betreiber die Relay-Identität ersetzen und Zugangsdaten erneuern.
