heise+ | Sicherheitsrisiko: Wenn kompromittierte Tor-Knoten SSH-Zugangsdaten stehlen

Unbekannte haben Hunderte Server des Anonymisierungsnetzwerks Tor verändert, um per Secure Shell (SSH) abgesicherte Verbindungen von Tor-Nutzern abzufangen und Login-Daten zu stehlen. Der Angriff wurde Anfang Oktober 2026 erkannt und nach wenigen Tagen gestoppt. Wie die Angreifer überhaupt so viele Knoten infiltrieren konnten, ist noch nicht abschließend geklärt. Mutmaßlich wurden die Admins selbst Opfer eines Phishing-Angriffs.

Die erste öffentliche Warnung im Forum des Tor-Projekts veröffentlichte Silvia Puglisi alias „hiro“ vom Tor-Projekt am Abend des 5. Oktober: Einige Betreiber hätten berichtet, dass manche Relay-Knoten SSH-Verbindungen abfangen würden. Es habe sich herausgestellt, dass in diese Knoten eingebrochen und die Tor-Konfiguration geändert wurde. Markant sei eine Anpassung der Ports, die der Knoten verweigert. Außerdem seien einige Knoten, die zuvor keine Exit Nodes waren, zu solchen umgewandelt worden. Betreiber sollten ihre Relay-Knoten darauf überprüfen, ob diese ebenfalls umkonfiguriert wurden, und auf verdächtige Kernel-Module, Tunnel-Interfaces oder unerklärlichen Speicherverbrauch achten.

Aufgefallen war der Angriff, weil SSH beim Login auf Servern mit Tor-Knoten plötzlich vor einem geänderten Host Key warnte. Diesen speichert der SSH-Client beim ersten Verbindungsaufbau automatisch. Ändert sich der Host Key eines Servers, wurde entweder der SSH-Daemon neu konfiguriert oder man hat es mit einer Man-in-the-Middle-Attacke zu tun. Stutzig geworden, begannen die Knotenbetreiber, ihre Server zu untersuchen, und fanden Einbruchspuren und Änderungen bei der Tor-Konfiguration, die das Verhalten des Knotens im Sinne des Angreifers beeinflussten.