Tor : 333 relais de sortie détournés pour intercepter des connexions SSH

Des pirates inconnus ont détourné 333 relais de sortie du réseau Tor, du 2 au 5 octobre 2026, pour rediriger les connexions SSH vers 12 serveurs qu'ils contrôlaient, selon une analyse publiée le 20 octobre par un bénévole du projet, connu sous le pseudonyme Kaba.

Comment les relais Tor ont-ils été compromis ?

D'après les bénévoles de Tor cités par Ars Technica, tout part de la fin août : l'attaquant a utilisé un mot de passe réutilisé pour accéder à un serveur de gestion du réseau, puis y a installé Ebury, une porte dérobée pour Linux découverte il y a douze ans. De là, il s'est connecté en SSH à un second serveur, nommé Switzerland2, avec une clé RSA que les enquêteurs n'ont pas retrouvée dans les clés autorisées. Il y a également installé Ebury avant de modifier la configuration de deux relais de sortie hébergés par cette machine.

Au total, 333 relais de sortie ont participé à la campagne, sur environ 3 000 relais de sortie au sein du réseau. Les enquêteurs n'ont pas établi comment les attaquants ont pris la main sur tous les serveurs sous-jacents : la piste d'un hébergeur piraté est évoquée, sans être confirmée.

Que faisaient ces relais piégés ?

Deux modifications ont été relevées. D'abord, le trafic SSH sortant sur le port 22 était redirigé vers l'un de 12 serveurs d'interception. Les utilisateurs recevaient alors l'alerte de changement de clé d'hôte de SSH ; ceux qui l'ignoraient livraient leur mot de passe, l'attaquant observait leurs commandes, puis ouvrait une seconde connexion pour infecter le serveur avec Ebury, selon l'analyse de Kaba.

Ensuite, les relais bloquaient les ports de messagerie chiffrée (25, 465, 587, 993 et 995) tout en laissant passer les ports non chiffrés. Si un service de messagerie acceptait de repasser en clair, l'attaquant pouvait lire les messages. On ignore si de telles rétrogradations ont réussi. Le trafic web chiffré, lui, passait normalement.

Qui est derrière l'attaque, et que faire ?

Kaba estime que l'usage d'Ebury et la collecte d'e-mails non chiffrés évoquent un groupe criminel à motivation financière, tout en précisant qu'il s'agit d'une hypothèse. Un mystère demeure : pourquoi Switzerland2 a accepté une clé RSA absente de ses clés autorisées.

Pour les utilisateurs, la leçon est classique : ne jamais passer outre un avertissement de changement de clé d'hôte SSH, privilégier les clés SSH aux mots de passe, et configurer ses comptes de messagerie pour refuser toute connexion non chiffrée. Pour les opérateurs, ne pas réutiliser de mots de passe sur les serveurs d'administration reste la première défense. Cet épisode rappelle que Tor protège l'anonymat du trafic, pas son contenu : la sortie du réseau est le point où un relais malveillant peut observer ou modifier ce qui n'est pas chiffré de bout en bout.

Source

• Ars Technica — 333 Tor exit nodes hijacked to intercept SSH traffic and retrieve plaintext email (22 octobre 2026), qui s'appuie sur l'analyse de Kaba, bénévole de Tor