CNews·Russia·Thursday, October 22, 2026 at 12:36 PM UTC

Хакеры захватили сотни серверов браузера Tor ради кражи паролей

Translate

Антон Денисенко

22 Октября 2026 15:36 22 Окт 2026 15:36 |

Исследователь по кибербезопасности под ником Kaba обнаружил масштабную кибератаку на ИТ-инфраструктуру Tor: злоумышленники скомпрометировали сотни серверов, на которых работали выходные узлы сети, и использовали их для перехвата SSH-соединений. Атакующие перенаправляли трафик на подконтрольные им серверы, где могли похищать пароли, отслеживать сессии и пытаться заразить целевые ИТ-системы вредоносными программами Ebury.

Захват ИТ-инфраструктуры

Хакеры захватили более 300 выходных узлов Tor ради перехвата SSH-соединений, пишет Ars Technica.

Браузер Tor - это специализированный веб-браузер на базе Firefox, разработанный для повышения анонимности и конфиденциальности пользователя в интернете. Он направляет весь трафик через распределенную сеть добровольческих серверов (узлов), многократно шифруя данные. Благодаря этому усложняется отслеживание реального IP-адреса и действий пользователя, писал CNews. Браузер включает встроенные настройки приватности: блокировку трекеров, отключение ряда скриптов и защиту от фингерпринтинга (технология сбора данных об устройстве или браузере).

В октябре 2026 г. исследователь информационной безопасности (ИБ) под псевдонимом Kaba выявил обширную кибератаку на ИТ-инфраструктуру сети Tor. Хакеры установили контроль над сотнями серверов, обслуживавших выходные узлы, и задействовали их для перехвата SSH-трафика. Соединения перенаправлялись на контролируемые атакующими машины, где фиксировались пароли, отслеживались сессии и предпринимались попытки внедрения вредоносного программного обеспечения (ПО) Ebury.

Хакеры захватили сотни серверов браузера Tor и перенаправляли SSH-трафик для кражи паролей и заражения троянами

ИБ-специалист обнаружил аномалию 2 октября 2026 г.: при подключении к собственному серверу через Tor система OpenSSH предупредила о смене host key. После этого он просканировал примерно 3 тыс. выходных узлов и зафиксировал 333 узла, которые перенаправляли SSH-соединения на одни и те же 12 серверов-перехватчиков.

На взломанных хостах злоумышленники модифицировали конфигурацию torrc и открывали порт 22. Параллельно на ряде узлов отключались защищенные порты IMAPS и POP3S, а вместо них активировались незашифрованные POP3 и IMAP. По оценке исследователя, помимо SSH-учетных данных атакующих интересовал и открытый почтовый трафик.

Механизм перехвата

Схема была ориентирована на аутентификацию по паролю. Сервер злоумышленников имитировал легитимный SSH-сервер и предъявлял собственный host key. Если пользователь игнорировал предупреждение о смене ключа либо подтверждал новый ключ при первом подключении и вводил пароль, данные оказывались у атакующих.

Затем устанавливалось соединение с реальным сервером, поэтому сессия выглядела штатной, а хакеры получали возможность наблюдать за всеми вводимыми командами. При тестировании ханипота Kaba также зафиксировал попытки проверить наличие sudo и установить Ebury - бэкдор и инфостилер, маскирующийся внутри OpenSSH.

Перехват входа по SSH-ключу таким способом был невозможен, ведь криптографическая подпись клиента привязана к конкретной сессии и не может быть повторно использована для подключения к настоящему серверу.

Анализ сетевых данных

Дополнительное исследование публичных данных Tor показало, что с 1 по 4 октября 2026 г. подозрительную exit policy получили 377 узлов, связанных с 59 операторами. На пике 4 октября эти узлы обеспечивали около 7,46% всей выходной пропускной способности сети. Автор анализа подчеркивает, что совпадение конфигураций само по себе не является доказательством ИТ-компрометации Tor.

В заявлении от 5 октября 2026 г. команда Tor Network Health сообщила о получении от нескольких операторов уведомлений о взломе серверов. Злоумышленники получали доступ к Linux-хостам, изменяли конфигурацию Tor и в ряде случаев переводили обычные узлы в статус выходных для перехвата SSH-соединений.

Пример взлома

Один из пострадавших операторов описал ИТ-компрометацию семейства узлов Quetzalcoatl. 28 августа 2026 г. атакующие вошли по паролю на управляющий сервер в Contabo, за пять минут получили root-привилегии и установили бэкдор Ebury версии 1.8.3. Затем через этот сервер проникли на VPS Switzerland2 во FranTech, где работали два выходных узла, и развернули Ebury уже там.

Активы МТС. Инфографика CNews

2 октября 2026 г. конфигурацию этих узлов изменили. Атакующие переписали torrc, после чего узлы начали применять новую exit policy. Оператор признал, что причиной первоначального проникновения стала слабая защита - один и тот же пароль использовался для SSH, sudo и шифрования резервных копий и хранился в открытом виде на обоих серверах. Остается неизвестным, применялся ли аналогичный метод для взлома остальных узлов.

Значительная часть пострадавших узлов размещалась у хостера FranTech/BuyVM, поэтому не исключена компрометация ИТ-инфраструктуры провайдера, хотя подтверждений этой версии 22 октября пока нет.

Реакция проекта Tor

Уже 4 октября 2026 г. специалисты Tor Project начали помечать проблемные узлы флагами BadExit и MiddleOnly, чтобы клиенты перестали использовать их для выхода из сети.

К 5 октября все узлы с вредоносной конфигурацией исчезли из актуального Tor Consensus - подписанного перечня доступных узлов, которым клиенты пользуются при построении маршрутов.