TOR nel mirino! Gli hacker criminali hanno preso il controllo di oltre 300 nodi di uscita

Degli hacker criminali hanno compromesso oltre 300 nodi di uscita Tor per intercettare connessioni SSH, secondo il ricercatore di sicurezza informatica Kaba. Il 2 ottobre, Kaba ha rilevato l'attacco dopo aver ricevuto un avviso di OpenSSH. Gli attaccanti reindirizzavano il traffico verso 12 server intercettatori, rubando password e tentando di infettare i sistemi con il malware Ebury.

Il ricercatore di sicurezza informatica con il nickname Kaba ha scoperto un’attacco su larga scala contro l’infrastruttura Tor: i malintenzionati hanno compromesso centinaia di server su cui operavano i nodi di uscita della rete e li hanno utilizzati per intercettare le connessioni SSH. Gli attaccanti reindirizzavano il traffico verso server sotto il loro controllo, dove potevano rubare password, tracciare le sessioni e tentare di infettare i sistemi target con il malware Ebury.

Kaba ha rilevato l’attacco il 2 ottobre 2026, quando, connesso al proprio server tramite Tor, ha ricevuto un avviso di OpenSSH riguardo al cambiamento dell’host key. Successivamente, il ricercatore ha scansionato circa 3000 nodi di uscita Tor e ha scoperto in totale 333 nodi che reindirizzavano il traffico SSH verso gli stessi 12 server intercettatori.

Secondo il ricercatore, i malintenzionati modificavano la configurazione di torrc sui computer compromessi e consentivano connessioni attraverso la porta 22. Contemporaneamente, su molti nodi venivano chiusi i servizi IMAPS e POP3S, mentre venivano aperti i servizi POP3 e IMAP, che consentono la trasmissione dei dati senza crittografia. Lo specialista afferma che, apparentemente, oltre alle password SSH, gli attaccanti erano interessati anche al traffico email aperto.

Lo schema di intercettazione SSH era progettato per l’autenticazione basata su password. In tal modo, il server degli attaccanti sostituiva quello SSH legittimo e forniva la propria host key. Se l’utente ignorava l’avviso di cambiamento della chiave o confermava la nuova chiave al primo collegamento, e poi inseriva la password, questa finiva nelle mani dei malintenzionati.

Successivamente, avveniva il collegamento al server legittimo, quindi la sessione continuava a funzionare normalmente, mentre gli attaccanti ottenevano la possibilità di osservare tutte i comandi inseriti. Inoltre, dopo l’attivazione dell’honeypot, Kaba ha scoperto che gli attaccanti tentavano anche di verificare la presenza di sudo e installare Ebury — un backdoor e un infostealer nascosto all’interno di OpenSSH.

Il ricercatore sottolinea che non era possibile reindirizzare in questo modo l’accesso tramite chiave SSH: la firma del client è legata a una specifica sessione SSH e non sarebbe valida per il collegamento al server legittimo.

Un’ulteriore analisi dei dati pubblici di Tor ha mostrato che dal 1 al 4 ottobre 2026, 377 nodi hanno ricevuto una exit policy sospetta, associati a 59 operatori. Al picco, verificatosi il 4 ottobre, questi nodi fornivano circa il 7,46% dell’intera capacità di uscita di Tor. Tuttavia, l’autore di questa analisi osserva che la corrispondenza delle configurazioni da sola non prova la compromissione.

In un avviso del 5 ottobre, il team Tor Network Health ha comunicato di aver ricevuto da diversi operatori segnalazioni di violazione dei loro server. Secondo loro, i malintenzionati ottenevano l’accesso agli host Linux, modificavano la configurazione di Tor e, in alcuni casi, trasformavano nodi normali in nodi di uscita per intercettare le connessioni SSH.

Al momento, non è chiaro come la maggior parte dei server sia stata violata. Uno degli operatori colpiti ha in seguito descritto la compromissione del suo cluster di nodi. Nel suo caso, gli attaccanti il 28 agosto sono entrati con una password sul server di gestione in Contabo, hanno ottenuto i privilegi root in cinque minuti e hanno installato il backdoor Ebury 1.8.3. Successivamente, attraverso il server compromesso, i malintenzionati hanno raggiunto il VPS Switzerland2 in FranTech, dove operavano due nodi di uscita Tor, e hanno distribuito Ebury anche lì.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response