{"id":183976,"date":"2026-10-23T23:40:30","date_gmt":"2026-10-23T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/okolo-10-vyhodnyh-uzlov-tor-byli-vovlecheny-v-ataku-po-perehvatu-ssh-podklyuchenij"},"modified":"2026-10-23T23:40:35","modified_gmt":"2026-10-23T21:40:35","slug":"around-10-percent-of-tor-exit-nodes-were-involved-in-an-ssh-connection-hijacking-attack","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/around-10-percent-of-tor-exit-nodes-were-involved-in-an-ssh-connection-hijacking-attack","title":{"rendered":"Environ 10 % des n\u0153uds de sortie Tor ont \u00e9t\u00e9 impliqu\u00e9s dans une attaque de capture de connexions SSH.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des d\u00e9tails sur l'incident ont \u00e9t\u00e9 publi\u00e9s, au cours duquel des attaquants ont r\u00e9ussi \u00e0 prendre le contr\u00f4le de 333 n\u0153uds de sortie du r\u00e9seau Tor (il y a environ 3000 n\u0153uds de sortie au total dans Tor) et \u00e0 intercepter le trafic non chiffr\u00e9 ainsi qu'\u00e0 rediriger des connexions SSH sur ceux-ci. L'attaque a commenc\u00e9 le 2 octobre (vendredi soir), mais a \u00e9t\u00e9 identifi\u00e9e et commenc\u00e9e \u00e0 \u00eatre bloqu\u00e9e le 4 octobre. Le 5 octobre, tous les serveurs compromis ont \u00e9t\u00e9 d\u00e9connect\u00e9s par les op\u00e9rateurs ou par les attaquants eux-m\u00eames. L'enqu\u00eate a r\u00e9v\u00e9l\u00e9 que les attaquants avaient eu acc\u00e8s aux serveurs deux mois avant le d\u00e9but de l'attaque contre les utilisateurs de Tor et avaient install\u00e9 le logiciel malveillant Ebury 1.8.3 sur les syst\u00e8mes compromis.<\/p>\n

L'objectif de l'attaque \u00e9tait d'intercepter les mots de passe, les cl\u00e9s et les informations confidentielles dans le trafic transit non chiffr\u00e9, ainsi que de capturer les mots de passe SSH. En analysant le trafic non chiffr\u00e9, les attaquants se sont concentr\u00e9s sur les requ\u00eates non chiffr\u00e9es aux serveur de messagerie. Pour inciter \u00e0 revenir \u00e0 un fonctionnement sans chiffrement sur les n\u0153uds de sortie, des ports r\u00e9seau utilis\u00e9s pour \u00e9tablir un canal de communication chiffr\u00e9 avec les serveurs de messagerie ont \u00e9t\u00e9 bloqu\u00e9s. serveurs tr\u00e8s charg\u00e9s<\/a>Le trafic non chiffr\u00e9 a \u00e9t\u00e9 analys\u00e9 en temps r\u00e9el.<\/p>\n

Pour collecter les mots de passe SSH, une redirection des requ\u00eates SSH a \u00e9t\u00e9 organis\u00e9e vers l'un des 12 serveurs des attaquants. Ces serveurs acceptaient les connexions SSH et demandaient le mot de passe au nom de de serveurs<\/a>, auquel la connexion \u00e9tait \u00e9tablie. Comme les cl\u00e9s d'h\u00f4te ne correspondaient pas, ssh du c\u00f4t\u00e9 client affichait un avertissement concernant la connexion \u00e0 un h\u00f4te inconnu. serveur<\/a>. <\/p>\n

Si l'utilisateur ignorait cet avertissement et saisissait le mot de passe pour la connexion, le logiciel malveillant serveur<\/a> redirigeait la connexion vers le serveur SSH cible l\u00e9gitime, enregistrait le mot de passe saisi par la victime et interceptait les informations sur les actions dans la session SSH. Parall\u00e8lement, une connexion \u00e9tait \u00e9tablie au serveur cible avec le mot de passe captur\u00e9 et le logiciel malveillant Ebury \u00e9tait install\u00e9 sur celui-ci. En prenant le contr\u00f4le de serveurs Linux qui n'\u00e9taient pas des n\u0153uds de sortie Tor, les attaquants modifiaient les param\u00e8tres dans le fichier torrc et les transformaient en nouveaux n\u0153uds de sortie malveillants de Tor.<\/p>\n

<\/center><\/p>\n

Pour identifier tous les n\u0153uds de sortie malveillants, le chercheur ayant d\u00e9couvert le probl\u00e8me a utilis\u00e9 l'utilitaire exitmap pour parcourir tous les n\u0153uds de sortie, \u00e9tablir une connexion SSH \u00e0 travers chacun d'eux et v\u00e9rifier si la requ\u00eate \u00e9tait redirig\u00e9e. Il n'est pas encore clair comment les attaquants ont pu acc\u00e9der aux n\u0153uds Tor compromis, bien que diverses hypoth\u00e8ses avancent
\n des \u00e9ventualit\u00e9s concernant la compromission des op\u00e9rateurs d'h\u00e9bergement.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u0434\u0435\u0442\u0430\u043b\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0432 \u0445\u043e\u0434\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043d\u0430\u0434 333 \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u043c\u0438 \u0443\u0437\u043b\u0430\u043c\u0438 \u0441\u0435\u0442\u0438 Tor (\u0432\u0441\u0435\u0433\u043e \u0432 Tor \u043e\u043a\u043e\u043b\u043e 3000 \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u0445 \u0443\u0437\u043b\u043e\u0432) \u0438 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043d\u0438\u0445 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u043d\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0438 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439. \u0410\u0442\u0430\u043a\u0430 \u043d\u0430\u0447\u0430\u043b\u0430\u0441\u044c 2 \u043e\u043a\u0442\u044f\u0431\u0440\u044f (\u0432 \u043f\u044f\u0442\u043d\u0438\u0446\u0443 \u0432\u0435\u0447\u0435\u0440\u043e\u043c), \u043d\u043e \u0431\u044b\u043b\u0430 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0438 \u043d\u0430\u0447\u0430\u043b\u0430 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c\u0441\u044f 4 \u043e\u043a\u0442\u044f\u0431\u0440\u044f. 5 \u043e\u043a\u0442\u044f\u0431\u0440\u044f \u0432\u0441\u0435 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b \u0431\u044b\u043b\u0438 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":10,"featured_media":183978,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-183976","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Environ 10% des n\u0153uds de sortie de Tor ont \u00e9t\u00e9 impliqu\u00e9s dans une attaque d'interception des connexions SSH | ProHoster","description":"Des d\u00e9tails sur l'incident ont \u00e9t\u00e9 publi\u00e9s, au cours duquel des cybercriminels ont r\u00e9ussi \u00e0 prendre le contr\u00f4le de 333 n\u0153uds de sortie du r\u00e9seau Tor (il y a environ 3000 n\u0153uds de sortie au total dans Tor) et \u00e0 organiser l'interception de trafic non chiffr\u00e9.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/around-10-percent-of-tor-exit-nodes-were-involved-in-an-ssh-connection-hijacking-attack","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u043a\u043e\u043b\u043e 10% \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u0445 \u0443\u0437\u043b\u043e\u0432 Tor \u0431\u044b\u043b\u0438 \u0432\u043e\u0432\u043b\u0435\u0447\u0435\u043d\u044b \u0432 \u0430\u0442\u0430\u043a\u0443 \u043f\u043e \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0443 SSH-\u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439 | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u0434\u0435\u0442\u0430\u043b\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0432 \u0445\u043e\u0434\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043d\u0430\u0434 333 \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u043c\u0438 \u0443\u0437\u043b\u0430\u043c\u0438 \u0441\u0435\u0442\u0438 Tor (\u0432\u0441\u0435\u0433\u043e \u0432 Tor \u043e\u043a\u043e\u043b\u043e 3000 \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u0445 \u0443\u0437\u043b\u043e\u0432) \u0438 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043d\u0438\u0445 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u043d\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/around-10-percent-of-tor-exit-nodes-were-involved-in-an-ssh-connection-hijacking-attack","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-10-23T21:40:31+00:00","article:modified_time":"2026-10-23T21:40:35+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/183976","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=183976"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/183976\/revisions"}],"predecessor-version":[{"id":183977,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/183976\/revisions\/183977"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/183978"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=183976"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=183976"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=183976"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}