Ebury pe 333 de noduri de ieșire Tor: parole SSH interceptate

La începutul lui octombrie 2026, o parte importantă a relay-urilor de ieșire ale rețelei Tor a fost folosită pentru un atac man-in-the-middle împotriva conexiunilor SSH. Știrea este relatată de The Hacker News, Ars Technica și Insicurezza Digitale; potrivit ultimelor două, relay-urile implicate sunt 333, compromise cu Ebury, backdoor-ul pentru Linux documentat din 2014. Detaliile de mai jos provin de la Ars Technica și Insicurezza Digitale, care preiau raportul publicat pe 20 octombrie de un voluntar Tor care semnează Kaba și informațiile Tor Project.

Ce s-a întâmplat

Potrivit Ars Technica, intruziunea a început la sfârșitul lui august: atacatorul a intrat pe serverul de administrare al unui operator de relay-uri cu o parolă validă și refolosită. Insicurezza Digitale datează accesul pe 28 august 2026 și adaugă că aceeași parolă era folosită pentru SSH, pentru sudo și ca passphrase pentru backup-uri și era salvată în clar pe două mașini; privilegiile de root au venit în cinci minute.

De acolo, atacatorul s-a conectat prin SSH la un al doilea server, „Switzerland2”, cu o cheie RSA care nu apare printre cheile autorizate, și a instalat Ebury. Nu s-a lămurit cum a ajuns să controleze toate cele 333 de relay-uri: ambele publicații menționează ipoteza, neconfirmată, a unui acces la nivelul furnizorului de hosting.

Cum funcționa interceptarea

Relay-urile compromise au fost modificate în fișierul de configurare torrc:

• SSH: conexiunile spre portul 22 erau deviate spre unul dintre cele 12 servere de interceptare, fiecare cu propria cheie de host. Cine ignora avertismentul „REMOTE HOST IDENTIFICATION HAS CHANGED” își tasta parola pe serverul atacatorului, care apoi transmitea sesiunea mai departe serverului legitim. Potrivit Insicurezza Digitale, unele middle relay-uri au fost transformate și în relay-uri de ieșire cu portul 22 deschis.
• E-mail: porturile pentru e-mailul criptat erau blocate, iar cele în clar rămâneau deschise. Ars Technica enumeră porturile 25, 465, 587, 993 și 995; Insicurezza Digitale citează 465, 587, 993 și 995. Nu se știe dacă vreun downgrade a reușit.

Cu un honeypot, Kaba a observat ce se întâmpla după capturarea parolei: o primă conexiune la serverul victimei pentru a urmări comenzile tastate, apoi o a doua pentru a instala Ebury. Insicurezza Digitale redă comenzile observate (id -u, command -v sudo, sudo -n true), urmate de un installer Perl cu payload în base64 trimis prin biblioteca Python paramiko. Fiecare parolă furată devenea astfel un nou server infectat.

Autentificarea cu cheie publică nu este expusă acestei scheme: semnătura este legată de fiecare sesiune și nu poate fi retransmisă.

Cronologie și răspunsul Tor Project

Kaba a primit avertismentul despre cheia de host pe 2 octombrie, apoi a testat unul câte unul cele aproximativ 3.000 de relay-uri de ieșire, verificând amprenta SSH returnată de un server de test. Sursele diferă puțin în privința ferestrei de atac: Ars Technica indică 2–5 octombrie, Insicurezza Digitale începând cu 1 octombrie, când 40 de relay-uri ale 21 de operatori și-au schimbat politica în cinci minute și jumătate.

Potrivit Insicurezza Digitale, pe 4 octombrie Tor Project a contactat operatorii și a atribuit relay-urilor afectate flag-urile BadExit și MiddleOnly; vârful capacității de ieșire compromise, după ponderea în consens, a fost de 7,46%. Pe 5 octombrie, ultimul relay cu politica atacatorului a ieșit din consens.

Ebury: ce să cauți pe serverele Linux

Insicurezza Digitale arată că versiunea găsită este 1.8.3, mai nouă decât cea din indicatorii publici ESET (1.8.2). Ebury se dă drept biblioteca de sistem libkeyutils.so, nu modifică binarele sshd și sudo, trece de verificările dpkg -V și debsums, nu lasă urme în logurile de acces standard și supraviețuiește repornirilor.

Indicatori publicați de Insicurezza Digitale:

• fișierul /usr/lib/x86_64-linux-gnu/libkeyutils.so.1.10.2, care nu aparține niciunui pachet (hash diferit pe fiecare host), spre care trimite link-ul libkeyutils.so.1;
• socket-ul UNIX abstract @event-0YsOG9WSOE;
• procese false rsyslogd, systemd-udevd și arpd și un proces ascuns snf;
• chei SSH ale infrastructurii atacatorului: ED25519 SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E (aceeași din avertismentul redat de Ars Technica), ED25519 SHA256:OfLY0uF9SwOW9xVjiMXZGDfk6Atmz6CbHy4epknLm8Y, RSA SHA256:dvACokMYcXJ2om4wuS+TvdtjrAgPK7rC7ZQHDgvBHzk, RSA SHA256:KlICz/B59619CpuQdGzgmmvzWBfTMUJ77EwihTYobuo;
• adresa primului acces, pe 28 august: 185.225.226.62.

Corespondență orientativă cu MITRE ATT&CK, pe baza faptelor relatate: T1078 (Valid Accounts), T1021.004 (Remote Services: SSH), T1557 (Adversary-in-the-Middle), T1014 (Rootkit), T1036 (Masquerading).

Impactul pentru companiile europene și italiene

Riscul direct îi privește pe cei care au administrat servere cu parole SSH prin Tor în primele zile ale lui octombrie, inclusiv consultanți și furnizori: parola interceptată a dus la un backdoor pe serverul accesat. Cauza de fond, o parolă refolosită pentru SSH, sudo și backup-uri, privește însă orice parc de servere Linux. Pentru entitățile NIS2, autentificarea, igiena cibernetică și securitatea furnizorilor intră în măsurile de la articolul 21. Iar căsuțele care acceptă încă IMAP și POP3 în clar expun credențialele pe orice rețea nesigură, nu doar pe Tor.

Ce să faci acum

1. Află cine folosește Tor pentru a ajunge la serverele companiei. Dacă cineva a acceptat o cheie de host necunoscută între 1 și 5 octombrie, consideră parola compromisă, schimb-o peste tot unde a fost refolosită și verifică serverul accesat.
2. Dezactivează accesul SSH cu parolă (PasswordAuthentication no) și folosește chei sau certificate. Nu refolosi aceeași parolă pentru SSH, sudo și backup-uri.
3. Nu ignora niciodată avertismentul de cheie de host schimbată: StrictHostKeyChecking yes cu known_hosts gestionate centralizat sau certificate de host.
4. Caută indicatorii: verifică cu dpkg -S sau rpm -qf cărui pachet îi aparține libkeyutils și caută socket-ul abstract cu ss -xa. Insicurezza Digitale sugerează deschiderea shell-ului cu H=1 I=1 LD_PRELOAD=":" LD_DEBUG=":" bash pentru a ocoli rootkit-ul; unde se poate, analizează discul cu mașina oprită.
5. Host compromis: Tor Project le recomandă operatorilor să-l scoată offline, să păstreze discul și logurile, să reinstaleze de la zero și să schimbe toate credențialele de pe el.
6. E-mail: respinge IMAP și POP3 în clar și acceptă autentificarea doar prin TLS.

Cum ajută ARXDOME

ARX Expose arată porturile deschise și configurarea e-mailului vizibile din exterior. Pe serverele Linux, agentul ARX Sentry colectează inventarul de procese și porturi și verifică integritatea fișierelor în folderele stabilite, iar ARX Shield verifică hardening-ul după benchmark-urile CIS. ARX Horizon îmbogățește fiecare conexiune cu țara, operatorul și listele de amenințări, astfel încât un acces SSH de la o adresă neobișnuită iese imediat în evidență.

Ultima actualizare: 22 octombrie 2026