Contexte de la compromission

En août 2026, des acteurs non identifiés ont exploité un mot de passe réutilisé pour accéder à un serveur de gestion du réseau Tor. Cette faille d’authentification a permis d’obtenir les privilèges d’administration sur le serveur, puis de s’étendre vers un second nœud nommé Switzerland2. L’enquête indique que l’accès a été réalisé via SSH, mais la clé RSA utilisée n’apparaît pas dans la liste des clés autorisées de Switzerland2, ce qui suggère une compromission antérieure ou une manipulation de la base d’autorisation.

Le logiciel installé sur les deux serveurs est Ebury, un cheval de Troie Linux découvert en 2014. Sa présence indique que les attaquants s’appuyaient sur un outil déjà connu, probablement pour profiter de sa capacité à intercepter les flux SSH en clair et à injecter des commandes sur les systèmes ciblés.

Mécanisme d’infection et de redirection

Après avoir installé Ebury sur le serveur de gestion, les intrus ont reconfiguré les paramètres de 333 nœuds de sortie hébergés par Switzerland2. Deux ensembles de modifications distincts ont été appliqués. Le premier a redirigé tout le trafic SSH (port 22) vers l’un des 12 serveurs d’interception contrôlés par les attaquants. Les utilisateurs de Tor qui ne prêtaient pas attention aux changements de clé d’hôte SSH pouvaient ainsi divulguer leurs mots de passe en clair.

Le second ensemble a bloqué les ports 25, 465, 587, 993 et 995 – utilisés respectivement pour le SMTP, le SMTPS, le submission, l’IMAP sécurisé et le POP3 sécurisé – tout en maintenant ouverts les ports associés aux protocoles non chiffrés (par exemple, SMTP sur le port 25 sans TLS). Cette configuration a créé une situation où les serveurs de messagerie, s’ils acceptaient une connexion non sécurisée, transmettaient les e‑mails en texte clair aux nœuds de sortie compromis, permettant leur capture.

Impacts sur la confidentialité et limites de l’enquête

La période d’activité documentée s’étend du 2 au 5 octobre 2026, soit seulement quatre jours, mais la portée potentielle est importante : chaque circuit Tor traversant l’un des 333 nœuds infectés pouvait être détourné sans alerte visible, à l’exception d’un avertissement de changement de clé SSH que certains utilisateurs ignorent. Aucun indice ne confirme qu’une récupération effective d’e‑mails non chiffrés ait eu lieu, les chercheurs soulignant l’absence de preuves de downgrade réussi.

Les investigations n’ont pas encore identifié le vecteur exact permettant de contrôler l’ensemble des serveurs sous‑jacents aux nœuds de sortie. De plus, la persistance d’Ebury sur les machines compromises n’est pas détaillée, ce qui rend difficile d’évaluer la durée de la compromission au-delà du créneau observé. Enfin, la dépendance à un mot de passe réutilisé montre que la sécurité du réseau Tor repose encore sur des pratiques d’authentification parfois faibles, ouvrant la porte à des attaques similaires si les opérateurs ne renforcent pas leurs politiques de mots de passe et de gestion des clés SSH.