Am 2. Oktober 2026 kompromittierten Angreifer 333 Tor-Exit-Knoten (ca. 10 % des gesamten Netzwerks) für eine koordinierte Kampagne zur Abfangung von unverschlüsseltem E-Mail-Verkehr und SSH-Man-in-the-Middle-Angriffen (MITM). Die Angreifer hatten die Linux-Server bereits im August mit dem OpenSSH-Backdoor- und Credential-Stealer-Payload Ebury 1.8.3 infiziert. Ein Sicherheitsforscher deckte die Manipulationen durch automatisierte Scans mit dem Tool exitmap auf und analysierte das Angriffsmuster über den Honeypot sshesame. Dank der schnellen Intervention des Tor-Netzwerk-Gesundheitsteams wurden die manipulierten Knoten bis zum 5. Oktober 2026 als BadExit markiert und vollständig offline genommen.
Wichtigste Punkte
Angriffsumfang: 333 infizierte Exit-Nodes manipulierten den Datenverkehr, um unverschlüsselte E-Mails abzugreifen und SSH-Verbindungen (Port 22) auf 12 feindliche Interceptionserver umzuleiten.
Schadsoftware Ebury 1.8.3: Die Angreifer setzten auf eine bereits Monate zuvor installierte OpenSSH-Backdoor, um Zugangsdaten abzufangen und betroffene Server mit Perl-Skripten weiter zu infizieren.
Erkennungsmethode (exitmap): Der Autor entwickelte ein Skript auf Basis des Test-Frameworks exitmap, das jeden Tor-Exit-Knoten einzeln ansteuerte und SSH-Fingerprints validierte.
Honeypot-Analyse (sshesame): Die Simulation zeigte, dass die Angreifer die Python-Bibliothek paramiko für die SSH-Interzeption und base64-kodierte Befehle zur Ebury-Installation verwendeten.
Reaktion des Tor Projects: Nach der Entdeckung am 2. Oktober stufte das Tor-Netzwerk-Team die betroffenen Knoten am 4. Oktober als BadExit ein; bis zum 5. Oktober wurden alle infizierten Server durch Betreiber und Angreifer abgeschaltet.
Diskussions-Highlights
Hosting-Provider-Cluster: Ein signifikanter Anteil der kompromisierten Server außerhalb einer spezifischen Knotenfamilie war beim Hoster FranTech/BuyVM konzentriert, was Spekulationen über providerseitige Sicherheitslücken auslöste.
Schutzwirkung von SSH-Keys: Nutzer schlüsselbasierter Authentifizierung und von FIDO2-Hardware-Keys blieben gegen Passwortdiebstahl und Server-Infektionen geschützt, da private Schlüssel den Client niemals verlassen.
Risiken von Exit-Nodes: Die geringe Anzahl von rund 3000 Exit-Knoten wird auf erhebliche rechtliche Risiken (Gefahr von Polizeidurchsuchungen) und das hohe Aufkommen von Kriminellen und staatlichen Akteuren zurückgeführt.
Sinnhaftigkeit von SSH über Tor: In der Community wurden legitime Anwendungsfälle für SSH-Verbindungen über Tor diskutiert, darunter die Umgehung restriktiver Firewalls in Netzwerken oder der Schutz der Administrator-Identität bei der Verwaltung eigener Server.
Glossar
Tor Exit Node: Der finale Knoten im Tor-Netzwerk, der den verschlüsselten Datenverkehr entschlüsselt und an das eigentliche Ziel im öffentlichen Internet weiterleitet.
MITM (Man-in-the-Middle): Eine Angriffsmethode, bei der sich eine Instanz unbemerkt in den Kommunikationskanal zwischen zwei Parteien einklinkt, um Daten mitzulesen oder zu manipulieren.
Ebury: Ein verbreiteter Linux-Trojaner und eine OpenSSH-Backdoor, die Anmeldedaten stiehlt und SSH-Sitzungen kompromittiert.
exitmap: Ein vom Tor Project entwickeltes Open-Source-Testwerkzeug zum Scannen und Analysieren des Verhaltens von Tor-Exit-Knoten.
sshesame: Ein SSH-Honeypot, der Verbindungen protokolliert und simuliert, um Angriffsaktivitäten und Malware-Installationen forensisch zu untersuchen.
Paramiko: Eine in Python geschriebene Bibliothek zur Implementierung des SSHv2-Protokolls für Client- und Server-Operationen.
BadExit: Ein offizielles Flag (Markierung) im Tor-Netzwerk, das Client-Software anweist, bekannte schadhafte oder kompromisierte Exit-Knoten zu meiden.
FIDO2 / Hardware-Key: Ein internationaler Authentifizierungsstandard (oft in Form von USB-Sticks wie Yubikey), der physische Tokens für eine phishing-sichere Anmeldung verwendet.