{"id":183976,"date":"2026-10-23T23:40:30","date_gmt":"2026-10-23T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/okolo-10-vyhodnyh-uzlov-tor-byli-vovlecheny-v-ataku-po-perehvatu-ssh-podklyuchenij"},"modified":"2026-10-23T23:40:35","modified_gmt":"2026-10-23T21:40:35","slug":"around-10-percent-of-tor-exit-nodes-were-involved-in-an-ssh-connection-hijacking-attack","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/around-10-percent-of-tor-exit-nodes-were-involved-in-an-ssh-connection-hijacking-attack","title":{"rendered":"Oko\u0142o 10% w\u0119z\u0142\u00f3w wyj\u015bciowych Tor wzi\u0119\u0142o udzia\u0142 w ataku maj\u0105cym na celu przechwycenie po\u0142\u0105cze\u0144 SSH","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Opublikowane szczeg\u00f3\u0142y incydentu, w kt\u00f3rym przest\u0119pcom uda\u0142o si\u0119 przej\u0105\u0107 kontrol\u0119 nad 333 w\u0119z\u0142ami wyj\u015bciowymi sieci Tor (\u0142\u0105cznie jest ich oko\u0142o 3000) i zorganizowa\u0107 na nich przechwytywanie nieszyfrowanego ruchu oraz przekierowywanie po\u0142\u0105cze\u0144 SSH. Atak rozpocz\u0105\u0142 si\u0119 2 pa\u017adziernika (w pi\u0105tek wieczorem), ale zosta\u0142 wykryty i zacz\u0105\u0142 by\u0107 blokowany 4 pa\u017adziernika. 5 pa\u017adziernika wszystkie skompromitowane serwery zosta\u0142y od\u0142\u0105czone przez operator\u00f3w lub samych atakuj\u0105cych. Dochodzenie wykaza\u0142o, \u017ce atakuj\u0105cy uzyskali dost\u0119p do serwer\u00f3w dwa miesi\u0105ce przed rozpocz\u0119ciem ataku na u\u017cytkownik\u00f3w Tor i zainstalowali na skompromitowanych systemach z\u0142o\u015bliwe oprogramowanie Ebury 1.8.3.<\/p>\n

Celem ataku by\u0142o przechwycenie hase\u0142, kluczy i poufnych informacji w nieszyfrowanym ruchu tranzytowym, a tak\u017ce przej\u0119cie hase\u0142 do SSH. Analizuj\u0105c nieszyfrowany ruch, atakuj\u0105cy skoncentrowali si\u0119 na po\u0142\u0105czeniach bez szyfrowania z serwerami pocztowymi. Aby wymusi\u0107 powr\u00f3t do pracy bez szyfrowania na w\u0119z\u0142ach wyj\u015bciowych, zablokowano porty sieciowe u\u017cywane do organizacji szyfrowanego kana\u0142u komunikacyjnego z poczt\u0105. serwerami<\/a>. Nieszyfrowany ruch by\u0142 analizowany na bie\u017c\u0105co.<\/p>\n

W celu zbierania hase\u0142 do SSH zorganizowano przekierowanie zapyta\u0144 SSH na jeden z 12 serwer\u00f3w przest\u0119pc\u00f3w. Serwery te przyjmowa\u0142y po\u0142\u0105czenie po SSH i wy\u015bwietla\u0142y monit o has\u0142o w imieniu serwery<\/a>, do kt\u00f3rego nast\u0119puje po\u0142\u0105czenie. Poniewa\u017c klucze hosta si\u0119 nie zgadza\u0142y, ssh po stronie klienta wy\u015bwietla\u0142o ostrze\u017cenie o po\u0142\u0105czeniu z nieznanym serwera<\/a>. <\/p>\n

Je\u015bli u\u017cytkownik zignorowa\u0142 to ostrze\u017cenie i wprowadzi\u0142 has\u0142o do po\u0142\u0105czenia, z\u0142o\u015bliwe serwer<\/a> przekazywa\u0142o po\u0142\u0105czenie do legalnego docelowego serwera SSH, zapisywa\u0142o wprowadzone przez ofiar\u0119 has\u0142o i przechwytywa\u0142o informacje o dzia\u0142aniach w sesji SSH. R\u00f3wnocze\u015bnie nawi\u0105zywano po\u0142\u0105czenie z docelowym serwerem za pomoc\u0105 przechwyconego has\u0142a i instalowano na nim z\u0142o\u015bliwe oprogramowanie Ebury. Uzyskuj\u0105c kontrol\u0119 nad serwerami Linux, kt\u00f3re nie by\u0142y w\u0119z\u0142ami wyj\u015bciowymi Tor, atakuj\u0105cy zmieniali ustawienia w pliku torrc i przekszta\u0142cali je w nowe z\u0142o\u015bliwe w\u0119z\u0142y wyj\u015bciowe Tor.<\/p>\n

<\/center><\/p>\n

Aby zidentyfikowa\u0107 wszystkie z\u0142o\u015bliwe w\u0119z\u0142y wyj\u015bciowe, badacz, kt\u00f3ry odkry\u0142 problem, u\u017cy\u0142 narz\u0119dzia exitmap do przeszukiwania wszystkich w\u0119z\u0142\u00f3w wyj\u015bciowych, nawi\u0105zywania po\u0142\u0105czenia SSH przez ka\u017cdy z nich oraz weryfikacji przekierowania \u017c\u0105dania. Jak dok\u0142adnie atakuj\u0105cym uda\u0142o si\u0119 uzyska\u0107 dost\u0119p do przechwyconych w\u0119z\u0142\u00f3w Tor, nie jest jasne, m.in. pojawiaj\u0105 si\u0119
\n przypuszczenia o kompromitacji operator\u00f3w hostingowych.
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u0434\u0435\u0442\u0430\u043b\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0432 \u0445\u043e\u0434\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043d\u0430\u0434 333 \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u043c\u0438 \u0443\u0437\u043b\u0430\u043c\u0438 \u0441\u0435\u0442\u0438 Tor (\u0432\u0441\u0435\u0433\u043e \u0432 Tor \u043e\u043a\u043e\u043b\u043e 3000 \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u0445 \u0443\u0437\u043b\u043e\u0432) \u0438 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043d\u0438\u0445 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u043d\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0438 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439. \u0410\u0442\u0430\u043a\u0430 \u043d\u0430\u0447\u0430\u043b\u0430\u0441\u044c 2 \u043e\u043a\u0442\u044f\u0431\u0440\u044f (\u0432 \u043f\u044f\u0442\u043d\u0438\u0446\u0443 \u0432\u0435\u0447\u0435\u0440\u043e\u043c), \u043d\u043e \u0431\u044b\u043b\u0430 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0438 \u043d\u0430\u0447\u0430\u043b\u0430 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c\u0441\u044f 4 \u043e\u043a\u0442\u044f\u0431\u0440\u044f. 5 \u043e\u043a\u0442\u044f\u0431\u0440\u044f \u0432\u0441\u0435 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b \u0431\u044b\u043b\u0438 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":10,"featured_media":183978,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-183976","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Oko\u0142o 10% w\u0119z\u0142\u00f3w wyj\u015bciowych Tor bra\u0142o udzia\u0142 w ataku na przechwytywanie po\u0142\u0105cze\u0144 SSH | ProHoster","description":"Opublikowane zosta\u0142y szczeg\u00f3\u0142y incydentu, w trakcie kt\u00f3rego przest\u0119pcom uda\u0142o si\u0119 przej\u0105\u0107 kontrol\u0119 nad 333 w\u0119z\u0142ami wyj\u015bciowymi sieci Tor (w sumie w Tor jest oko\u0142o 3000 w\u0119z\u0142\u00f3w wyj\u015bciowych) i zorganizowa\u0107 na nich przechwytywanie niezaszyfrowanego ruchu.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/around-10-percent-of-tor-exit-nodes-were-involved-in-an-ssh-connection-hijacking-attack","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u043a\u043e\u043b\u043e 10% \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u0445 \u0443\u0437\u043b\u043e\u0432 Tor \u0431\u044b\u043b\u0438 \u0432\u043e\u0432\u043b\u0435\u0447\u0435\u043d\u044b \u0432 \u0430\u0442\u0430\u043a\u0443 \u043f\u043e \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0443 SSH-\u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439 | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u0434\u0435\u0442\u0430\u043b\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0432 \u0445\u043e\u0434\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043d\u0430\u0434 333 \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u043c\u0438 \u0443\u0437\u043b\u0430\u043c\u0438 \u0441\u0435\u0442\u0438 Tor (\u0432\u0441\u0435\u0433\u043e \u0432 Tor \u043e\u043a\u043e\u043b\u043e 3000 \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u0445 \u0443\u0437\u043b\u043e\u0432) \u0438 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043d\u0438\u0445 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u043d\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/around-10-percent-of-tor-exit-nodes-were-involved-in-an-ssh-connection-hijacking-attack","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-10-23T21:40:31+00:00","article:modified_time":"2026-10-23T21:40:35+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/183976","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=183976"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/183976\/revisions"}],"predecessor-version":[{"id":183977,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/183976\/revisions\/183977"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/183978"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=183976"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=183976"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=183976"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}