W kampanii z 2 do 5 października 2026 r. część węzłów wyjściowych Tor przekierowywała połączenia SSH. Wolontariusz sieci Tor Kaba podał 20 października, że test około 3 tys. wyjść wykrył 333 takie węzły i 12 serwerów przechwytujących.
Co oznaczają liczby 333 i 377
Wynik 333 pochodzi ze skanu, a 377 to liczba węzłów pasujących do wzorca polityki wyjściowej w odrębnej analizie danych katalogowych. Te wartości opisują różne pomiary.
Kaba użył programu exitmap i dwóch serwerów testowych. Jeden sprawdzał odcisk klucza hosta SSH, drugi weryfikował, czy połączenie dociera z wybranego węzła wyjściowego, czy z serwera przechwytującego. W ten sposób wykrył 333 przekierowania wśród około 3 tys. testowanych wyjść.
Osobna analiza danych katalogowych opisana przez The Hacker News wykazała 377 węzłów pasujących do wzorca polityki wyjściowej. Samo dopasowanie do wzorca nie oznacza, że skan potwierdził przekierowanie SSH.
| Pomiar | Wynik | Co obejmował |
| Skan Kaby z użyciem exitmap | 333 węzły | Bezpośrednie testy przekierowania SSH wśród około 3 tys. wyjść |
| Analiza wzorca polityki wyjściowej | 377 węzłów | Węzły pasujące do określonego wzorca w danych katalogowych |
Jak przekierowanie SSH mogło ujawnić hasło
Węzeł wyjściowy Tor to ostatni przekaźnik w obwodzie Tor, który kieruje połączenie do celu poza siecią. Zgłoszona kampania dotyczyła połączeń SSH wychodzących z Tor do zwykłych serwerów, a nie połączeń z usługami onion, które pozostają wewnątrz sieci Tor.
Przechwycenie hasła w opisanym scenariuszu wymagało, by użytkownik zaakceptował klucz hosta serwera przechwytującego, a następnie wpisał hasło. Jeśli klucz znanego serwera ulegnie zmianie, klient SSH wyświetla ostrzeżenie. Przy pierwszym połączeniu może natomiast pojawić się zwykła prośba o zaakceptowanie klucza, dlatego użytkownik nie zawsze widzi ostrzeżenie o zmianie.
Weryfikacja klucza hosta i uwierzytelnianie użytkownika kluczem publicznym to dwa różne etapy. Podpis używany przy uwierzytelnianiu kluczem publicznym jest związany z konkretną sesją SSH, więc przechwytujący nie może po prostu ponownie użyć go do zalogowania na prawdziwy serwer. Ta metoda ograniczała opisaną drogę kradzieży hasła, ale nie chroni przed innymi rodzajami przejęcia, takimi jak złośliwe oprogramowanie na urządzeniu.
Jakie zmiany objęły porty pocztowe
Zmienione polityki wyjściowe blokowały porty pocztowe 25, 465, 587, 993 i 995. Na dwóch badanych węzłach Switzerland2 dopuszczały też porty 110 dla POP3 i 143 dla IMAP, które mogą obsługiwać połączenia nieszyfrowane. Nie ustalono, czy doszło do skutecznego obniżenia poziomu szyfrowania połączeń ani przechwycenia wiadomości.
Co Zimmer ustalił na dwóch serwerach
Operator Zimmer opisał dwa serwery rodziny Quetzalcoatl, na których znalazł Ebury 1.8.3: serwer zarządzający oraz Switzerland2. Według jego relacji 28 sierpnia 2026 r. napastnik użył ponownie wykorzystywanego hasła, aby dostać się na serwer zarządzający i uzyskać uprawnienia administratora. To samo hasło służyło do logowania SSH, użycia sudo i szyfrowania kopii zapasowej; na serwerze zarządzającym pozostało też włączone uwierzytelnianie SSH hasłem.
Zimmer podał, że na tych dwóch zainfekowanych serwerach brakowało niektórych typowych wskaźników, w tym przekierowań NAT i zmodyfikowanych plików binarnych Tora. Kontrola pakietów również nie wykryła implantu.
Jak Tor Project zalecił reagować operatorom
W komunikacie z 5 października 2026 r. Tor Project zalecił operatorom Linuksowych węzłów sprawdzenie konfiguracji torrc i dołączanych plików, polityk wyjściowych, reguł NAT dla portu 22, procesów, połączeń wychodzących, integralności pakietów, kont użytkowników, kluczy, zadań cron i jednostek systemd. Komunikat Tor Project dla operatorów
Przy podejrzeniu przejęcia Tor Project zalecił wyłączenie węzła, zachowanie dysków i logów, ponowną instalację systemu, zmianę tożsamości przekaźnika oraz rotację danych uwierzytelniających obecnych na hoście.
