NIEUWS

IN HET KORT: Aanvallers kaapten begin oktober ruim 300 Tor-exitrelais. Ze leidden SSH-verkeer om naar eigen servers. Zo stalen ze wachtwoorden. Het Tor Project haalde de relais binnen enkele dagen uit het netwerk. Het gaat om een aanval op de hosts, niet op de versleuteling van Tor.

Kort samengevat

Wat: gekaapte Linux-servers draaiden als Tor-exitrelais en onderschepten SSH-verbindingen.

Wanneer: vanaf 2 oktober 2026. Uiterlijk 5 oktober stonden alle relais buiten het netwerk.

Omvang: 333 van ongeveer 3.000 exitrelais stuurden SSH door naar dezelfde 12 servers.

Piek: op 4 oktober droegen de gekaapte relais 7,46 procent van de exitcapaciteit.

Malware: op de gekaapte hosts draaide de Ebury-backdoor.

Veilig: inloggen met SSH-sleutels was niet te onderscheppen.

Hoe ontdekte men de aanval?

Een onderzoeker met de naam kaba merkte het op 2 oktober. Zijn SSH-verbinding via Tor gaf een waarschuwing. De sleutel van de server was veranderd.

Hij scande alle exitrelais met het hulpmiddel exitmap. Dat vond 333 relais met hetzelfde gedrag. Ze stuurden SSH door naar 12 interceptieservers. Hij meldde dit bij het netwerkteam van Tor.

Hoe werkte de aanval?

De aanvallers namen Linux-servers over. Ze pasten het configuratiebestand torrc aan. Daarmee stond poort 22 open voor uitgaand verkeer. Dat is de poort van SSH.

Tor kiest alleen exits die de gevraagde poort toestaan. Gebruikers kwamen zo vanzelf bij de gekaapte relais uit. De relais leidden hun SSH-verkeer om naar de interceptieservers.

Die servers toonden een valse hostsleutel. Gebruikers die de waarschuwing negeerden, typten hun wachtwoord in. De aanvallers legden het vast. Daarna probeerden ze de doelservers met Ebury te infecteren.

Een analyse van 1AEO telde 377 relais met verdachte exitregels. Die draaiden op 147 IP-adressen. Er waren 59 operators bij betrokken. Het verschil in aantallen komt door de meetmethode.

Minstens 24 relais waren eerst geen exit. De aanvallers maakten ze er een.

Hoe reageerde het Tor Project?

De directory-autoriteiten markeerden de relais als BadExit. Dat zijn de servers die bepalen welke relais meedoen. Clients kiezen zulke relais dan niet meer. Op 5 oktober stond geen enkel gekaapt relais meer in de lijst.

De schade bleef zichtbaar. Het aantal relais met de Exit-vlag daalde met ongeveer 370. Op 18 oktober was dat nog niet hersteld.

Een hostingnetwerk viel op. Van 101 relais bij FranTech Solutions volgden er 71 het aanvalspatroon. Bij 9.000 relais elders waren dat er 13. FranTech verkoopt onder de naam BuyVM.

Het Tor Project kon nog niet alles verklaren. Het had begin oktober geen totaalcijfer. Ook de eerste inbraak op de hosts was niet duidelijk. Eén operator herleidde zijn inbraak naar een hergebruikt wachtwoord.

Is Tor nu onveilig?

Nee. De aanval brak de versleuteling van Tor niet. Hij brak ook SSH niet. De aanvallers misbruikten zwakke servers en onoplettende gebruikers.

Toch blijft een risico bestaan. Ebury laat geen sporen achter bij inlogpogingen. Een operator schreef dat andere relais mogelijk ook besmet zijn. Ebury draaide tussen 2009 en 2023 op zo’n 400.000 servers.

Wat moeten gebruikers doen?

Gebruik SSH-sleutels in plaats van wachtwoorden.

Zet wachtwoordlogin op uw servers uit.

Accepteer nooit zomaar een gewijzigde hostsleutel.

Controleer een nieuwe sleutel via een tweede, betrouwbaar kanaal.

Verander wachtwoorden als u in deze dagen een sleutelwaarschuwing negeerde.

Controleer die servers op sporen van Ebury.

Wat moeten relay-operators doen?

Behandel uw relais als zwaar aangevallen productiemachines.

Installeer een gehackte host volledig opnieuw.

Vernieuw alle wachtwoorden en sleutels.

Gebruik nergens hetzelfde wachtwoord twee keer.

Controleer uw exitregels in torrc op onverwachte wijzigingen.

Veelgestelde vragen

Wat is er met Tor gebeurd?
Aanvallers kaapten ruim 300 exitrelais. Ze onderschepten SSH-verbindingen en stalen wachtwoorden.

Wanneer gebeurde het?
De aanval werd op 2 oktober 2026 ontdekt. Op 5 oktober waren de relais verwijderd.

Wat is een exitrelais?
Het is de laatste schakel in een Tor-verbinding. Daar verlaat het verkeer het netwerk.

Zijn SSH-sleutels veilig?
Ja. Een inlog met sleutels kon niet worden doorgestuurd. Wachtwoorden waren wel kwetsbaar.

Wat is Ebury?
Ebury is een oude backdoor voor Linux. Hij steelt inloggegevens.

Moet ik stoppen met Tor?
Nee. Het probleem lag bij gehackte servers en genegeerde waarschuwingen.

Bronnen:

• The Hacker News: Attackers hijacked over 300 Tor exit relays

• CyberInsider: Tor removes hundreds of compromised relays