Begin deze maand hebben ruim driehonderd gehackte en malafide Tor-exitnodes een gecoördineerde campagne uitgevoerd om SSH-verbindingen te onderscheppen en onversleuteld mailverkeer te verzamelen. De exitnodes zijn inmiddels uit het Tor-netwerk verwijderd. Dat meldt een beveiligingsonderzoeker. Het Tor Project, verantwoordelijk voor de Tor-software, waarschuwde begin deze maand al Tor-serverbeheerders.

Dagelijks maken miljoenen mensen gebruik van het Tor-netwerk om hun privacy te beschermen en gecensureerde websites te bezoeken. Het netwerk draait volledig op servers en bandbreedte die door vrijwilligers wordt gedoneerd. Het verkeer van Tor-gebruikers loopt via meerdere servers om zo de identiteit van de gebruiker te maskeren. Zo is de eerste server de entry guard, die het verzoek van de Tor-gebruiker naar de relay-node doorstuurt. Vervolgens gaat het van deze server naar de exit-node, die het verzoek naar het internet stuurt.

De exitnode stuurt zoals gezegd het verzoek van de Tor-gebruiker naar het internet. De eigenaar van de exitnode kan het verkeer van de Tor-gebruiker zien, maar weet niet van wie het afkomstig is. Ook kan de beheerder van de exitnode proberen om een man-in-the-middle (MiTM)-aanval uit te voeren. Op vrijdag 2 oktober vond er een gecoördineerde campagne plaats waarbij meer dan driehonderd gehackte en malafide exitnodes SSH-verbindingen probeerden te onderscheppen.

Het Tor-netwerk telt zo'n 3.000 exitnodes. Bij de aanval werden 333 servers ingezet. Volgens de beveiligingsonderzoeker had de aanval twee doelen: het verzamelen van onversleuteld mailverkeer en het onderscheppen van SSH-verbindingen. Op de servers waren bepaalde poorten geblokkeerd, zodat er alleen onversleuteld mailverkeer werd afgehandeld. Daarnaast werden SSH-verbindingen doorgestuurd naar 'interception servers'. SSH waarschuwt gebruikers voor deze redirect. In het geval gebruikers ervoor kozen om toch verbinding te maken kon hun wachtwoord worden gestolen en kon de aanvaller elk ingevoerd commando zien.

Volgens het Tor Project, alsmede Tor-serverbeheerders, wisten de aanvallers normale Tor-servers te hacken en vervolgens de Tor-configuratie aan te passen, zodat SSH-verbindingen werden onderschept. In het geval van gehackte Tor-servers die geen exitnode waren werden aanpassingen doorgevoerd, zodat ze wel als exitnode fungeerden en voor de aanval waren te gebruiken. Wie erachter de aanval zit is onbekend. Ook is onduidelijk hoe de aanvallers zoveel servers wisten te compromitteren.