Tor soll Verbindungen anonymisieren. Vor Mitlesern am Ausgang schützt es aber nicht, und genau das hat jetzt jemand im großen Stil ausgenutzt. Ein unbekannter Angreifer hat 333 Tor-Exit-Nodes manipuliert und für Man-in-the-Middle-Angriffe eingesetzt. Bei gut 3.000 Exit-Nodes zum Zeitpunkt des Angriffs war damit etwa jeder zehnte Ausgangsknoten betroffen. Die Server sind inzwischen aus dem Netzwerk geworfen, viele Fragen aber noch offen.
Was die gekaperten Nodes gemacht haben
Aufgefallen ist das Ganze einem Sicherheitsforscher aus der Schweiz, der seine Beobachtungen in einem Blogbeitrag beschrieben hat. Ab dem 2. Oktober 2026 begannen die 333 Exit-Nodes plötzlich, unverschlüsselten E-Mail-Verkehr und SSH-Verbindungen umzuleiten. SSH-Traffic auf Port 22 landete dabei auf einem von zwölf Servern des Angreifers.
Das ist ziemlich gefährlich. Wer sich über Tor per SSH mit einem Server verband und dabei einen Host-Key-Wechsel einfach wegklickte, konnte so sein Passwort preisgeben. Der Angreifer war in der Lage, übertragene Befehle mitzulesen und das Zielsystem selbst zu übernehmen.
Gehackte Betreiber und eine alte Bekannte
Das Network-Health-Team des Tor-Projekts bestätigte den Vorfall am 5. Oktober in einer eigenen Sicherheitsmeldung. Am Wochenende davor seien Hinweise eingegangen, dass Relays einiger Betreiber SSH-Verbindungen abfangen. Die Betreiber selbst gaben an, ihre Server seien gehackt und die Tor-Konfiguration verändert worden. In manchen Fällen hatte der Angreifer sogar normale Relays zu Exit-Nodes umgebaut, um seine Reichweite zu erhöhen. Das Tor-Team hat die betroffenen Server ausgeschlossen und alle Betreiber aufgefordert, ihre Systeme zu untersuchen.
Wie die Server ursprünglich kompromittiert wurden, ist bislang unklar. Der Forscher geht davon aus, dass die Angriffe schon im August begonnen haben. Für die Umleitung soll eine alte Bekannte zum Einsatz gekommen sein: die Malware Ebury, die seit 2009 auf weltweit mehr als 400.000 Systemen nachgewiesen wurde und sich gern in den SSH-Dienst einnistet.
Was du daraus mitnehmen solltest
- Host-Key-Warnungen ernst nehmen: Meldet dein SSH-Client einen geänderten Fingerprint, brich die Verbindung ab, statt einfach zu bestätigen.
- Schlüssel statt Passwort: Mit Public-Key-Authentifizierung kann ein Mitleser kein wiederverwendbares Passwort abgreifen. Am besten deaktivierst du Passwort-Logins auf deinen Servern ganz.
- Tor ist keine Verschlüsselung: Alles, was am Exit-Node unverschlüsselt rauskommt, kann der Betreiber sehen. Mailverkehr sollte daher nur über TLS laufen.
- Eigene Server prüfen: Wer selbst Tor-Relays oder andere öffentlich erreichbare Linux-Server betreibt, sollte nach Ebury-Spuren suchen, etwa nach manipulierten SSH-Binaries oder Bibliotheken.