# Tor : 333 relais de sortie détournés pour intercepter des connexions SSH

> Une campagne du 2 au 5 octobre 2026 a redirigé le trafic SSH vers 12 serveurs d'interception et poussé des e-mails à passer en clair.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/tor-333-relais-sortie-detournes-ssh-ebury
- Auteur : Kelvyn
- Publié le : 23 octobre 2026 (2026-10-23T04:36:40.624Z)
- Rubrique : Cybersécurité
- Sujets : Piratage, SSH, Tor, Ebury
- Langue : français

Des pirates inconnus ont détourné 333 relais de sortie du réseau Tor, du 2 au 5 octobre 2026, pour rediriger les connexions SSH vers 12 serveurs qu'ils contrôlaient, selon une analyse publiée le 20 octobre par un bénévole du projet, connu sous le pseudonyme Kaba.

## Comment les relais Tor ont-ils été compromis ?

D'après les bénévoles de Tor cités par Ars Technica, tout part de la fin août : l'attaquant a utilisé un mot de passe réutilisé pour accéder à un serveur de gestion du réseau, puis y a installé Ebury, une porte dérobée pour Linux découverte il y a douze ans. De là, il s'est connecté en SSH à un second serveur, nommé Switzerland2, avec une clé RSA que les enquêteurs n'ont pas retrouvée dans les clés autorisées. Il y a également installé Ebury avant de modifier la configuration de deux relais de sortie hébergés par cette machine.

Au total, 333 relais de sortie ont participé à la campagne, sur environ 3 000 relais de sortie au sein du réseau. Les enquêteurs n'ont pas établi comment les attaquants ont pris la main sur tous les serveurs sous-jacents : la piste d'un hébergeur piraté est évoquée, sans être confirmée.

## Que faisaient ces relais piégés ?

Deux modifications ont été relevées. D'abord, le trafic SSH sortant sur le port 22 était redirigé vers l'un de 12 serveurs d'interception. Les utilisateurs recevaient alors l'alerte de changement de clé d'hôte de SSH ; ceux qui l'ignoraient livraient leur mot de passe, l'attaquant observait leurs commandes, puis ouvrait une seconde connexion pour infecter le serveur avec Ebury, selon l'analyse de Kaba.

Ensuite, les relais bloquaient les ports de messagerie chiffrée (25, 465, 587, 993 et 995) tout en laissant passer les ports non chiffrés. Si un service de messagerie acceptait de repasser en clair, l'attaquant pouvait lire les messages. On ignore si de telles rétrogradations ont réussi. Le trafic web chiffré, lui, passait normalement.

## Qui est derrière l'attaque, et que faire ?

Kaba estime que l'usage d'Ebury et la collecte d'e-mails non chiffrés évoquent un groupe criminel à motivation financière, tout en précisant qu'il s'agit d'une hypothèse. Un mystère demeure : pourquoi Switzerland2 a accepté une clé RSA absente de ses clés autorisées.

Pour les utilisateurs, la leçon est classique : ne jamais passer outre un avertissement de changement de clé d'hôte SSH, privilégier les clés SSH aux mots de passe, et configurer ses comptes de messagerie pour refuser toute connexion non chiffrée. Pour les opérateurs, ne pas réutiliser de mots de passe sur les serveurs d'administration reste la première défense. Cet épisode rappelle que Tor protège l'anonymat du trafic, pas son contenu : la sortie du réseau est le point où un relais malveillant peut observer ou modifier ce qui n'est pas chiffré de bout en bout.

## À retenir

- Du 2 au 5 octobre 2026, 333 relais de sortie du réseau Tor ont été détournés, selon l'analyse publiée le 20 octobre par le bénévole Kaba.
- Les relais piégés redirigeaient le trafic SSH du port 22 vers 12 serveurs d'interception qui volaient les mots de passe de ceux qui ignoraient l'alerte de clé d'hôte.
- Les mêmes relais bloquaient les ports de messagerie chiffrée pour pousser les e-mails à passer en clair ; on ne sait pas si cela a fonctionné.
- Les auteurs et le moyen d'accès aux 333 serveurs restent inconnus ; Kaba suppose un groupe financièrement motivé, sans preuve.

## Source

- [Ars Technica — 333 Tor exit nodes hijacked to intercept SSH traffic and retrieve plaintext email](https://arstechnica.com/information-technology/2026/10/300-tor-exit-nodes-hijacked-to-intercept-ssh-traffic-and-retrieve-plaintext/) (22 octobre 2026), qui s'appuie sur l'analyse de Kaba, bénévole de Tor

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/tor-333-relais-sortie-detournes-ssh-ebury