Napadači kompromitovali preko 300 Tor izlaznih čvorova u cilju presretanja SSH konekcija i krađe akreditiva

U masovnoj i pažljivo koordinisanoj malicioznoj kampanji koja se odvijala početkom oktobra 2026. godine, bezbednosni istraživači i Tor Projekat otkrili su da je više od 300 izlaznih čvorova (exit relays) na Tor mreži pretrpelo ozbiljnu kompromitaciju. Ovi čvorovi su zloupotrebljeni za sprovođenje Man-in-the-Middle (MITM) napada na udaljene serverske konekcije, sa primarnim ciljem presretanja saobraćaja i krađe korisničkih akreditiva.

Iako je Tor mreža dizajnirana da obezbedi anonimnost i privatnost komunikacije, ovaj incident ponovo je skrenuo pažnju na rizike sa kojima se suočavaju krajnji korisnici i sami operatori releja kada je reč o bezbednosti osnovne infrastrukturne osnove.

Anatomija napada: Kako je kompromitovano 10% izlaznog kapaciteta mreže?

Incident je otkriven zahvaljujući detaljnoj analizi nezavisnog bezbednosnog istraživača koji objavljuje pod pseudonimom kaba. Skeniranjem celokupne Tor mreže koja broji oko 3.000 izlaznih čvorova, istraživač je 2. oktobra utvrdio da čak 333 izlazna čvora (dok naknadne analize protoka podataka pokazuju da je taj broj dostizao i do 377 čvorova koje je vodilo 59 različitih operatora) sprovode sumnjivu reorijentaciju mrežnog saobraćaja.

U svom vrhuncu, ovi kompromitovani čvorovi činili su oko 7,46% do 10% ukupnog izlaznog kapaciteta cele Tor mreže mereno kroz konsenzusnu težinu (consensus weight).

Izlazni čvorovi predstavljaju poslednju tačku u Tor krugovima (circuits) gde saobraćaj napušta enkriptovanu mrežu i odlazi ka svom krajnjem odredištu na Internetu. Napadači su uspeli da ostvare administrativni pristup osnovnim Linux serverima koji su hostovali ove releje – prema procenama stručnjaka, najverovatnije još u avgustu 2026. godine – instaliranjem ozloglašenog Ebury malvera (OpenSSH backdoora i alata za krađu akreditiva).

Nakon što su preuzeli kontrolu nad serverima, napadači su modifikovali konfiguracione datoteke čvorova i izmenili njihove izlazne politike (exit policies). Specifično, omogućili su saobraćaj na portu 22, koji se koristi za SSH (Secure Shell) konekcije, na onim relejima koji su po svojim standardnim podešavanjima inače blokirali taj port.

Mehanizam napada: Preusmeravanje na lažne servere

Kada bi korisnici pokušali da uspostave SSH konekciju ka udaljenom serveru prolazeći kroz Tor mrežu, kompromitovani izlazni čvorovi su taj saobraćaj tajno preusmeravali ka jednom od 12 centralnih presretačkih servera pod kontrolom napadača.

Ovi presretački serveri su koristili skripte zasnovane na bibliotekama poput paramiko kako bi se postavili između klijenta i ciljnog servera:

Prezentovanje lažnog ključa (Host Key): Prilikom uspostavljanja SSH sesije, napadački server je klijentu slao lažni kriptografski otisak (host key) umesto pravog servera.

Generisanje sistemskog upozorenja: Zbog promene otiska, SSH klijent na računaru korisnika bi automatski izbacio kritično upozorenje o bezbednosti: REMOTE HOST IDENTIFICATION HAS CHANGED (Upozorenje da se identifikacija udaljenog hosta promenila).

Krađa lozinki: Korisnici koji su ignorisali ovo upozorenje i svesno ili nesvesno potvrdili konekciju nastavili bi sa prijavljivanjem. U tom trenutku, napadači su uspešno hvatali i beležili unesene lozinke.

Uticaj na različite tipove autentifikacije

Stručnjaci ističu da ova kampanja nije imala isti uticaj na sve metode prijavljivanja:

Autentifikacija zasnovana na lozinkama (Password-based): Bila je u potpunosti ranjiva. Uneseni tekst lozinke direktno je kompromitovan i sačuvan na serverima napadača.

Autentifikacija zasnovana na kriptografskim ključevima (Key-based): Ostala je bezbednija u pogledu curenja tajnih privatnih ključeva, s obzirom na to da privatni SSH ključevi nikada ne napuštaju mašinu klijenta. Ipak, ukoliko bi korisnik prihvatio lažni ključ servera usled MITM presretanja, napadači su potencijalno mogli da posmatraju tok interakcije unutar sesije.

Otkriće, brza reakcija i neutralizacija pretnje

Zahvaljujući budnosti istraživača i brzoj reakciji mrežnih administratora, incident je saniran u rekordnom roku.

Nakon što je istraživač kaba mapirao kompromitovane čvorove i utvrdio šablon preusmeravanja porta 22 na 12 sumnjivih IP adresa, alarmirao je Tor Project Network Health tim 4. oktobra 2026. godine. Tor tim je odmah reagovao, pokrenuvši proceduru označavanja spornih releja oznakom BadExit.

Zahvaljujući koordinisanim naporima i obaveštavanju operatora, zaraženi serveri su počeli masovno da se gase, tako da do 5. oktobra 2026. godine nijedan od malicioznih čvorova više nije bio prisutan u zvaničnom konsenzusu Tor mreže.

Povezanost sa Ebury malverom

Dublje analize koje su sproveli stručnjaci za bezbednost (među kojima je i Marc-Etienne M. Léveillé) ukazuju na to da su mnogi od pogođenih servera bili inficirani Ebury malverom – dugovečnim OpenSSH bekdorom koji decenijama unazad cilja Linux sisteme u cilju krađe akreditiva i manipulacije mrežnim servisima. Činjenica da su napadači uspeli da ostvare dubok pristup virtuelnim privatnim serverima (VPS) mesecima pre same akcije sugeriše da infrastruktura pružaoca usluga u oblaku često predstavlja slabu tačku ukoliko se serveri ne održavaju uz stroge mere bezbednosti.

Preporuke i lekcije za administratore i korisnike

Ovaj incident služi kao ozbiljna opomena celoj zajednici o važnosti proaktivne higijene sistema i verifikacije mrežnih protokola:

Za operatere Tor izlaznih čvorova:

Neophodno je izvršiti detaljne forenzičke provere integriteta sistema.

U slučaju bilo kakve sumnje na kompromitaciju, preporučuje se potpuna reinstalacija operativnog sistema iz osnova (from scratch) i rotacija svih pristupnih akreditiva i kriptografskih ključeva.

Izbegavanje hostovanja privatnih i osetljivih mrežnih servisa na nekontrolisanim virtuelnim serverima bez hardverske izolacije.

Za krajnje korisnike i administratore koji koriste SSH:

Nikada ne ignorisati upozorenja o promeni host ključa: Poruka poput REMOTE HOST IDENTIFICATION HAS CHANGED predstavlja crveni alarm. Ukoliko se pojavi bez prethodne najave i legitimne promene servera, nikada ne treba nastaviti sa prijavom.

Inzistirati na SSH ključevima: Potpuno napustiti autentifikaciju zasnovanu na običnim lozinkama u korist kriptografskih parova ključeva (Public/Private Key authentication), posebno ukoliko se saobraćaj obavlja preko javnih, neproverenih ili anonimizujućih mreža.

Dodatni oprez sa saobraćajem kroz Tor: Iako Tor pruža izuzetnu anonimizaciju na mrežnom sloju, aplikativni sloj i dalje zahteva primenu end-to-end enkripcije i budnost krajnjeg korisnika na potencijalne napade na izlaznim tačkama.