333 nœuds Tor piratés pour intercepter SSH et emails
Original : 333 Tor exit nodes hijacked to intercept SSH traffic and retrieve plaintext email
Pourquoi c'est important
L'attaque illustre la vulnérabilité des infrastructures d'anonymat face à la réutilisation de mots de passe.
Du 2 au 5 octobre 2026, 333 nœuds de sortie Tor ont été compromis pour rediriger le trafic SSH vers 12 serveurs pirates et bloquer les ports email chiffrés afin de capter des messages en clair.
Des pirates inconnus ont pris le contrôle de 333 nœuds de sortie Tor pendant trois jours début octobre, selon un rapport publié mardi par un volontaire Tor sous le pseudonyme Kaba. L'intrusion initiale remonte à fin août : un mot de passe réutilisé a permis d'accéder à un serveur d'administration Tor. Le backdoor Linux Ebury, connu depuis 12 ans, y a été installé. Les attaquants ont ensuite pivoté vers un second serveur, « Switzerland2 », via SSH avec une clé RSA dont l'origine reste inexpliquée. Une fois maîtres de Switzerland2, ils ont reconfiguré les nœuds de sortie en deux temps. Premier volet : tout trafic SSH transitant par Tor sur le port 22 était silencieusement redirigé vers l'un des 12 serveurs d'interception contrôlés par les pirates — les utilisateurs ignorant l'alerte de changement de clé hôte exposaient alors leurs identifiants. Second volet : les ports 25, 465, 587, 993 et 995 (email chiffré) étaient bloqués, laissant passer uniquement les ports d'email non chiffré. Si un service effectuait un downgrade de connexion, les messages circulaient en clair. Il reste incertain que ces tentatives de downgrade aient abouti. La compromission complète de l'ensemble des 333 serveurs n'est pas encore élucidée.