Хакеры захватили сотни серверов браузера Tor ради кражи паролей

ПО
Свободное ПО
Софт
Телеком
Интернет
Веб-сервисы
Интернет-ПО
Интернет-доступ
ИТ в торговле

22 Октября 2026 15:36 22 Окт 2026 15:36

| Поделиться

Хакеры захватили сотни серверов браузера Tor ради кражи паролей

Исследователь по кибербезопасности под ником Kaba обнаружил масштабную кибератаку на ИТ-инфраструктуру Tor: злоумышленники скомпрометировали сотни серверов, на которых работали выходные узлы сети, и использовали их для перехвата SSH-соединений. Атакующие перенаправляли трафик на подконтрольные им серверы, где могли похищать пароли, отслеживать сессии и пытаться заразить целевые ИТ-системы вредоносными программами Ebury.

Захват ИТ-инфраструктуры

Хакеры захватили более 300 выходных узлов Tor ради перехвата SSH-соединений, пишет Ars Technica.

Браузер Tor - это специализированный веб-браузер на базе Firefox, разработанный для повышения анонимности и конфиденциальности пользователя в интернете. Он направляет весь трафик через распределенную сеть добровольческих серверов (узлов), многократно шифруя данные. Благодаря этому усложняется отслеживание реального IP-адреса и действий пользователя, писал CNews. Браузер включает встроенные настройки приватности: блокировку трекеров, отключение ряда скриптов и защиту от фингерпринтинга (технология сбора данных об устройстве или браузере).

В октябре 2026 г. исследователь информационной безопасности (ИБ) под псевдонимом Kaba выявил обширную кибератаку на ИТ-инфраструктуру сети Tor. Хакеры установили контроль над сотнями серверов, обслуживавших выходные узлы, и задействовали их для перехвата SSH-трафика. Соединения перенаправлялись на контролируемые атакующими машины, где фиксировались пароли, отслеживались сессии и предпринимались попытки внедрения вредоносного программного обеспечения (ПО) Ebury.

Pexels - RealToughCandy.com
Хакеры захватили сотни серверов браузера Tor и перенаправляли SSH-трафик для кражи паролей и заражения троянами

ИБ-специалист обнаружил аномалию 2 октября 2026 г.: при подключении к собственному серверу через Tor система OpenSSH предупредила о смене host key. После этого он просканировал примерно 3 тыс. выходных узлов и зафиксировал 333 узла, которые перенаправляли SSH-соединения на одни и те же 12 серверов-перехватчиков.

На взломанных хостах злоумышленники модифицировали конфигурацию torrc и открывали порт 22. Параллельно на ряде узлов отключались защищенные порты IMAPS и POP3S, а вместо них активировались незашифрованные POP3 и IMAP. По оценке исследователя, помимо SSH-учетных данных атакующих интересовал и открытый почтовый трафик.

Механизм перехвата

Схема была ориентирована на аутентификацию по паролю. Сервер злоумышленников имитировал легитимный SSH-сервер и предъявлял собственный host key. Если пользователь игнорировал предупреждение о смене ключа либо подтверждал новый ключ при первом подключении и вводил пароль, данные оказывались у атакующих.

Затем устанавливалось соединение с реальным сервером, поэтому сессия выглядела штатной, а хакеры получали возможность наблюдать за всеми вводимыми командами. При тестировании ханипота Kaba также зафиксировал попытки проверить наличие sudo и установить Ebury - бэкдор и инфостилер, маскирующийся внутри OpenSSH.

Перехват входа по SSH-ключу таким способом был невозможен, ведь криптографическая подпись клиента привязана к конкретной сессии и не может быть повторно использована для подключения к настоящему серверу.

Анализ сетевых данных

Дополнительное исследование публичных данных Tor показало, что с 1 по 4 октября 2026 г. подозрительную exit policy получили 377 узлов, связанных с 59 операторами. На пике 4 октября эти узлы обеспечивали около 7,46% всей выходной пропускной способности сети. Автор анализа подчеркивает, что совпадение конфигураций само по себе не является доказательством ИТ-компрометации Tor.

В заявлении от 5 октября 2026 г. команда Tor Network Health сообщила о получении от нескольких операторов уведомлений о взломе серверов. Злоумышленники получали доступ к Linux-хостам, изменяли конфигурацию Tor и в ряде случаев переводили обычные узлы в статус выходных для перехвата SSH-соединений.

Пример взлома

Один из пострадавших операторов описал ИТ-компрометацию семейства узлов Quetzalcoatl. 28 августа 2026 г. атакующие вошли по паролю на управляющий сервер в Contabo, за пять минут получили root-привилегии и установили бэкдор Ebury версии 1.8.3. Затем через этот сервер проникли на VPS Switzerland2 во FranTech, где работали два выходных узла, и развернули Ebury уже там.

Low/no-code-революция: новая архитектура цифровой независимости
Конференция2 октября 2026 г. конфигурацию этих узлов изменили. Атакующие переписали torrc, после чего узлы начали применять новую exit policy. Оператор признал, что причиной первоначального проникновения стала слабая защита - один и тот же пароль использовался для SSH, sudo и шифрования резервных копий и хранился в открытом виде на обоих серверах. Остается неизвестным, применялся ли аналогичный метод для взлома остальных узлов.

Значительная часть пострадавших узлов размещалась у хостера FranTech/BuyVM, поэтому не исключена компрометация ИТ-инфраструктуры провайдера, хотя подтверждений этой версии 22 октября пока нет.

Реакция проекта Tor

Уже 4 октября 2026 г. специалисты Tor Project начали помечать проблемные узлы флагами BadExit и MiddleOnly, чтобы клиенты перестали использовать их для выхода из сети.

К 5 октября все узлы с вредоносной конфигурацией исчезли из актуального Tor Consensus - подписанного перечня доступных узлов, которым клиенты пользуются при построении маршрутов.

Рекомендации по безопасности

Пользователям, которые с 1 по 5 октября 2026 г. подключались по SSH через Tor, приняли незнакомый или изменившийся host key и вводили пароль, рекомендуется считать учетные данные скомпрометированными, сменить их и проверить серверы на наличие инфостилера Ebury.

• Подобрать тариф на виртуальные рабочие места VDI на ИТ-маркетплейсе CNewsMarket

Антон Денисенко

Поделиться

Подписаться на новости

Короткая ссылка