Un avviso SSH ha svelato centinaia di nodi Tor compromessi

Il 2 ottobre KABA si collega via SSH attraverso Tor e riceve un avviso: la chiave del server di destinazione è cambiata. Nella ricostruzione pubblicata il 20 ottobre, il ricercatore racconta di aver seguito quell’anomalia fino a individuare 333 nodi di uscita compromessi, usati per deviare le connessioni verso server di intercettazione.

I nodi di uscita sono l’ultimo tratto del percorso Tor prima di raggiungere il destinatario. Secondo KABA, quelli compromessi deviavano SSH verso server degli attaccanti: la chiave inattesa era il segnale che a rispondere non era il server giusto. Proseguire con la password esponeva le credenziali all’intercettazione. Il ricercatore collega l’attacco alla backdoor Ebury; il caso non dimostra una rottura della cifratura HTTPS.

Il progetto Tor aveva già avvisato gli operatori il 5 ottobre: server Linux compromessi, configurazioni modificate e intercettazioni SSH. Il team stava segnalando i relay coinvolti e le autorità di directory li respingevano dalla rete. Il numero di 333 resta quello dell’indagine di KABA, mentre il modo in cui gli attaccanti sono entrati inizialmente nei server non è chiarito.