Angreifer übernahmen 333 Tor-Ausgangsknoten und leiteten SSH-Verkehr zu 12 eigenen Servern um. Die Aktion lief vom 2. bis 5. Oktober 2026. Verschlüsselte Mail-Ports wurden gesperrt, damit Dienste auf Klartext ausweichen. Einziges Signal war die Warnung zum geänderten Host-Schlüssel.
Angreifer kaperten 333 Tor-Ausgangsknoten und leiteten SSH-Verbindungen über 12 eigene Server um. Wer eine Schlüsselwarnung wegklickte, gab sein Passwort an Fremde. Der Fall zeigt, was Admins und Mail-Betreiber jetzt prüfen sollten.
Das Wichtigste in Kürze
- 333 Tor-Ausgangsknoten wurden übernommen. Sie leiteten SSH-Verkehr auf Port 22 zu 12 Servern der Angreifer um.
- Die Aktion dauerte vom 2. bis 5. Oktober 2026. Der erste Einbruch in einen Verwaltungsserver geschah schon Ende August.
- Verschlüsselte Mail-Ports wurden gesperrt. Unverschlüsselte Ports blieben offen, ob ein Abruf gelang, ist unklar.
- Eine Warnung zum geänderten Host-Schlüssel war das einzige Signal. Wer sie ignorierte, tippte sein Passwort ein.
Wie der Angriff auf die Tor-Exit-Knoten ablief
Unbekannte Täter nutzten laut Tor-Freiwilligen ein wiederverwendetes, gültiges Passwort. Damit kamen sie auf einen Tor-Verwaltungsserver. Dort installierten sie Ebury, eine Hintertür für Linux, die seit 12 Jahren bekannt ist. Mehr zu dieser Schadsoftware steht bei ESET zu Ebury.
So ging es weiter: Vom Verwaltungsserver aus verbanden sie sich per SSH mit einem zweiten Server namens Switzerland2. Sie nutzten einen RSA-Schlüssel. Die Ermittler fanden ihn aus ungeklärten Gründen nicht unter den erlaubten Schlüsseln. Auch dort landete Ebury. Danach änderten die Täter die Einstellungen von zwei Exit-Knoten, die Switzerland2 betreibt.
So waren am Ende 333 Exit-Relays beteiligt. Wie die Täter die Kontrolle über alle zugehörigen Server erlangten, ist laut Bericht noch offen.
Dabei stützt sich dieser Beitrag auf den ausführlichen Bericht eines Tor-Freiwilligen mit dem Namen Kaba. Er erschien am 20. Oktober 2026 als Bericht von Kaba. Ars Technica fasste ihn zusammen. Ein Datum einer späteren Aktualisierung nennen die Quellen nicht. Erste Teile hatten Tor-Freiwillige vorher auf der Mailingliste der Relay-Betreiber beschrieben.
Was die Angreifer an den Knoten änderten
Die Täter nahmen drei Änderungen vor:
- SSH-Verkehr über Port 22 lief zu einem von 12 Interceptor-Servern der Täter.
- Die Ports 25, 465, 587, 993 und 995 für verschlüsselte Mail wurden blockiert.
- Ports für unverschlüsselten Mail-Empfang blieben offen.
Damit sollten Dienste auf Klartext zurückfallen. Gelang das, konnten die Täter die Nachrichten über die Knoten abgreifen. Ob solche Versuche Erfolg hatten, ist unklar.
Dabei merkten Nutzer bei SSH zunächst nichts. Verschlüsselter Web-Verkehr lief wie gewohnt weiter. Erst der SSH-Client schlug Alarm: Er meldete, dass sich die Identität des Zielrechners geändert habe, und warnte vor einem Mithörer. Wer diese Meldung überging, gab sein SSH-Passwort auf dem falschen Server ein. Kaba traf es nach eigenen Angaben am Freitagmorgen selbst.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Gekaperte Exit-Knoten | 333 | Alle leiteten SSH um und sperrten verschlüsselte Mail-Ports. |
| Interceptor-Server | 12 | Hier landeten die Passwörter von Nutzern, die die Warnung ignorierten. |
| Angriffszeitraum | 2. bis 5. Oktober 2026 | Die Umleitung lief nur 3 Tage, der Einbruch begann Ende August. |
| Gesperrte Mail-Ports | 5 | Dienste sollten auf unverschlüsselte Verbindungen ausweichen. |
Was Nutzer und Admins aus den SSH-Logins lernen
Daher gilt für SSH eine klare Regel: Eine Warnung zum geänderten Host-Schlüssel nie wegklicken. Wer es während des Zeitraums über Tor tat, sollte das eingegebene Passwort als bekannt betrachten. Das folgt direkt aus dem Ablauf des Angriffs.
Zudem zeigt der Einstieg ein altes Risiko. Ein wiederverwendetes Passwort öffnete den Weg zur Verwaltung. Betreiber von Servern prüfen deshalb besser, wo Zugangsdaten mehrfach genutzt werden.
Deshalb ist für Mail-Dienste der Rückfall auf Klartext der wunde Punkt. Wo Programme bei gesperrten Ports still auf unverschlüsselte Verbindungen wechseln, können Knoten im Netz mitlesen. Ob das in diesem Fall gelang, ist laut Quelle offen.
Einordnung: Was das für Admins in der Schweiz heisst
Wer SSH-Zugänge über Tor nutzt, sollte prüfen, ob er im Zeitraum vom 2. bis 5. Oktober 2026 eine Schlüsselwarnung erhalten hat. Falls ja, ist ein Passwortwechsel auf den betroffenen Systemen die logische Folge. Betreiber von Mail-Servern sollten festlegen, dass Verbindungen nur verschlüsselt angenommen werden. Zudem lohnt der Blick auf Verwaltungszugänge mit wiederverwendeten Passwörtern. Konkrete Kosten nennen die Quellen nicht. Der Aufwand beschränkt sich auf Prüfung und Konfiguration.
Fazit
Damit weisst du jetzt, wie der Angriff lief und woran man ihn erkannt hätte: an einer einzigen SSH-Warnung. Prüfe als Nächstes deine Logs und Passwörter für den Zeitraum. Lies dazu den Originalbericht von Kaba für die technischen Details.
Quellen: Ars Technica. Foto: fancycrave1 / Pixabay. Stand: 22. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.