300 nœuds Tor infectés retirés après une attaque SSH
Original : How I got over 300 Tor exit nodes removed
Pourquoi c'est important
Une attaque ciblant 10 % des nœuds de sortie Tor soulève des questions sur la résilience du réseau.
Le 2 octobre 2026, 333 nœuds de sortie Tor infectés ont lancé une attaque MITM SSH coordonnée. Un chercheur indépendant les a identifiés et signalés au Tor Project, qui les a désactivés sous 48 heures.
Le vendredi 2 octobre à 9h35, 333 nœuds de sortie Tor compromis ont commencé à intercepter les connexions SSH des utilisateurs. Soit environ 10 % des quelque 3 000 relais de sortie du réseau. Les attaquants avaient infiltré les serveurs deux mois plus tôt, en août, en déployant silencieusement Ebury 1.8.3 — un backdoor OpenSSH et voleur de credentials pour Linux.
L'attaque poursuivait deux objectifs : capter le trafic mail non chiffré et mener des attaques man-in-the-middle sur SSH. Concrètement, si un utilisateur établissait une connexion SSH via l'un des nœuds infectés, il était redirigé vers l'un des 12 serveurs d'interception. En cas d'acceptation de l'alerte de fingerprint, l'attaquant volait le mot de passe, observait chaque commande tapée, puis infectait le serveur cible avec Ebury.
L'auteur de l'article, qui a lui-même été victime de cette redirection, a développé un script basé sur exitmap pour tester chaque nœud de sortie individuellement : en épinglant un nœud, puis en vérifiant si la connexion SSH entre deux de ses serveurs arrivait bien depuis ce nœud ou depuis l'un des serveurs d'interception.
Signalé vendredi soir à l'équipe de santé réseau du Tor Project — qui a déclaré n'avoir « jamais vu une attaque de ce type » — le résultat a été rapide : dès le dimanche 4 octobre, les relais étaient marqués BadExit et les opérateurs notifiés. Le lundi 5 octobre, tous les serveurs infectés étaient hors ligne. Un creux visible sur metrics.torproject.org confirme la perte de capacité du réseau.