Tussen 2 en 5 oktober 2026 werd SSH-verkeer via Tor-exitrelays omgeleid naar onderscheppingsservers. Tor-vrijwilliger Kaba meldde op 20 oktober dat zijn scan 333 relays vond die dit deden. De telling komt uit tests van ongeveer 3.000 exits en staat los van een andere analyse die 377 relays met een afwijkend exitbeleid telde.
Wat de tellingen van 333 en 377 betekenen
Een exitrelay is de laatste schakel in een Tor-circuit en stuurt verkeer door naar een bestemming buiten Tor. Kaba gebruikte exitmap en twee testservers om ongeveer 3.000 exits te controleren: de ene test keek naar de SSH-hostkey, de andere naar de herkomst van de verbinding. Kaba meldde 333 relays die SSH-verkeer naar 12 onderscheppingsservers omleidden.
| Meting | Aantal | Wat werd geteld |
| Kaba’s exitmap-scan | 333 relays; 12 servers | Relays die SSH-verkeer omleidden, vastgesteld met controles van de hostkey en de verbindingsbron. |
| Afzonderlijke analyse van Tor-directorygegevens | 377 relays | Relays waarvan het exitbeleid overeenkwam met een bepaald patroon. Een overeenkomst met dat patroon bewijst op zichzelf geen omleiding of compromittering. |
De tweede telling, waarover The Hacker News berichtte, meet dus iets anders dan Kaba’s test. Een afwijkend exitbeleid is niet hetzelfde als een door een test aangetoonde SSH-omleiding.
Hoe een omleiding een SSH-wachtwoord kon blootleggen
Bij SSH controleert de hostkey de identiteit van de server; gebruikersauthenticatie bepaalt daarna hoe de gebruiker inlogt. Als een eerder bekende hostkey verandert, waarschuwt SSH daarvoor. Bij een eerste verbinding kan de gebruiker juist een gewone vraag krijgen om de aangeboden hostkey te accepteren. In de beschreven aanval kon een wachtwoord worden buitgemaakt als iemand de sleutel van de onderscheppingsserver accepteerde en daar vervolgens een wachtwoord invoerde.
Publieke-sleutelauthenticatie werkt anders: de handtekening van de client is aan de betreffende SSH-sessie gekoppeld en kan niet eenvoudig bij de echte server opnieuw worden gebruikt. Daarmee blokkeert die methode de beschreven route voor wachtwoorddiefstal, maar ze voorkomt geen andere compromittering, zoals malware op een van de eindpunten.
Een SSH-verbinding met een onion-service blijft binnen Tor en gaat niet via een exitrelay. De beschreven omleiding betrof SSH-verkeer dat Tor verliet naar een bestemming buiten het onion-netwerk.
Welke e-mailpoorten veranderden
Op twee Switzerland2-relays beschreef operator Zimmer een beleid dat de mailpoorten 25, 465, 587, 993 en 995 blokkeerde, terwijl de plaintext-geschikte POP3- en IMAP-poorten 110 en 143 openbleven. Zo’n configuratie kon een risico opleveren als een mailverbinding naar een onversleutelde variant werd teruggeschakeld. Dat e-mail daadwerkelijk is teruggeschakeld of onderschept, is niet vastgesteld.
Wat Zimmer over twee servers rapporteerde
Zimmer meldde dat op 28 augustus 2026 een aanvaller met een hergebruikt wachtwoord toegang kreeg tot een beheerserver en daar Ebury 1.8.3 installeerde. De aanvaller bereikte daarna ook Switzerland2. Zimmer rapporteerde Ebury op die twee onderzochte servers; zijn bevinding geldt niet automatisch voor de 333 relays uit Kaba’s scan.
Volgens Zimmer was hetzelfde wachtwoord gebruikt voor SSH, sudo en de versleuteling van back-ups, en stond wachtwoordauthenticatie aan op de vanaf internet bereikbare beheerserver. Op de twee onderzochte systemen ontbraken volgens zijn reconstructie onder meer NAT-omleidingen en aangepaste Tor-binaries; pakketcontroles vonden de implant niet.
Wat het Tor Project relaybeheerders adviseerde
Het Tor Project adviseerde beheerders van Linux-relays de Tor-configuratie en de activiteit op hun hosts te controleren, waaronder exitbeleid, netwerkregels, processen, pakketintegriteit en mogelijke persistentie. Bij een vermoedelijke compromittering luidde het advies: haal de relay offline, bewaar de schijven en logs, installeer het systeem opnieuw, vervang de relay-identiteit en roteer de aanwezige inloggegevens.
