Eine ignorierte Warnung öffnete Tür und Tor
Am 2. Oktober begannen 333 kompromittierte Tor-Exit-Relays, SSH-Verbindungen über 12 Abfangserver umzuleiten, was etwa 10 % der Exit-Relays des Netzwerks entsprach. Obwohl dies einen kleineren Anteil der gesamten Bandbreite ausmachte, instrumentalisierte diese koordinierte Kampagne effektiv einen signifikanten Teil des Anonymitätsnetzwerks.
Die Falle war tückisch: Normaler Web-Traffic passierte unberührt, aber SSH-Traffic auf Port 22 wurde manipuliert. Benutzer, die eine SSH-Verbindung versuchten, wurden unwissentlich zu einem der 12 Abfangserver geleitet, was eine kritische Warnung auslöste: „Remote host identification has changed.“
Viele Entwickler, die es gewohnt sind, solche Meldungen zu ignorieren, haben wahrscheinlich einfach weitergeklickt. Doch das Ignorieren dieser Warnung und das Fortfahren mit der Passwort-Authentifizierung legte ihre Anmeldedaten offen, protokollierte jeden eingegebenen Befehl und ermöglichte die Bereitstellung von Ebury, einer OpenSSH-Backdoor und einem Anmeldedaten-Diebstahl-Tool, auf ihren Servern.
Die Warnung selbst ist der Dreh- und Angelpunkt. SSH-Host-Keys ermöglichen es einem Client, die Identität eines Servers zu verifizieren; eine Abweichung kann auf harmlose Ereignisse hindeuten, wie etwa eine legitime Server-Neuinstallation. Sie ist jedoch ebenso ein starker Indikator für einen aktiven Man-in-the-Middle-Angriff. Dieser Vorfall hat eindeutig gezeigt, dass diese Aufforderung niemals als Routine betrachtet oder ohne gründliche Untersuchung einfach weggeklickt werden sollte.
Wie sich die Relay-Falle über Tor hinaus ausbreitete
Die Angreifer stellten ihre Falle lange im Voraus, indem sie im August Relay-Hosts kompromittierten und Ebury, eine Linux-Backdoor und ein Anmeldedaten-Diebstahl-Tool, installierten. Anschließend änderten sie die torrc-Richtlinien auf 342 Relays, um Port 22 explizit zuzulassen, wodurch mindestens 24 Nicht-Exit-Relays in Exit-Nodes umgewandelt wurden. Dies ermöglichte es, dass SSH-Traffic über Relays geleitet wurde, die ihn normalerweise nicht übertragen würden, und leitete Verbindungen zu einem von 12 dedizierten SSH-Abfangservern um.
Als ein Opfer auf die Warnung Remote host identification has changed stieß und den ersetzten SSH-Key akzeptierte, waren die Folgen schnell und schwerwiegend. Das Einloggen mit einem Passwort löste einen mehrstufigen Angriff aus:
- Diebstahl von Anmeldedaten
- Umfassende Befehlsüberwachung
- Ein automatisierter Versuch, eine zweite SSH-Sitzung zum Zielserver zu öffnen und Ebury zu installieren, oft über base64-kodierte Installer mit
sudo-Rechten.
Dieser Vorfall bedeutete nicht, dass Tor jede Verbindung verschlüsselt oder offenlegt; das Netzwerk bietet Routing-Anonymität, keinen End-to-End-Schutz. Tor leitet standardmäßigen Web-Traffic (Ports 80/443) unberührt weiter. Die SSH-Host-Verifizierung bleibt der entscheidende Schutz gegen ein Exit-Relay, das sich als Ziel ausgibt – eine Verteidigung, die 333 kompromittierte Relays, die 10 % der Tor-Exit-Nodes und 7,46 % der gesamten Exit-Bandbreite ausmachten, aushebelten.
Der Fingerprint-Abgleich, der 333 Relays entlarvte
Diese SSH-Warnung, „Remote host identification has changed“, wird normalerweise mit einem Schulterzucken quittiert und weggeklickt. Diesmal sah ein Forscher namens kaba darin einen Handlungsaufruf. Anstatt den unerwarteten Fingerprint zu ignorieren, nutzte kaba ExitMap, einen spezialisierten Tor-Exit-Relay-Scanner, um das Netzwerk systematisch zu testen.
Kabas Methodik war elegant: eine Verbindung zwischen zwei kontrollierten Servern herstellen, den Datenverkehr über jedes Tor Exit Relay leiten und auf geänderte SSH-Fingerabdrücke prüfen. Dieser systematische Ansatz erwies sich als entscheidend. Er ermöglichte es kaba, eine koordinierte, weit verbreitete Abfangkampagne von isolierten Server-Neuaufbauten oder einfachen Fehlkonfigurationen zu unterscheiden und so das beispiellose Ausmaß des Angriffs zu bestätigen. Für alle, die sich für Netzwerkanalyse interessieren, bietet Exitmap: Fast and Modular Tor Exit Relay Scanner einen tieferen Einblick in dieses leistungsstarke Tool.
Bis zum 4. Oktober hatte das Netzwerk-Health-Team von Tor die bösartigen Relays als BadExit markiert. Sie wurden bis zum 5. Oktober schnell aus dem aktiven Netzwerkkonsens entfernt. Das Tor-Team bewertete dies als einen beispiellosen Angriff, der eher für dessen Komplexität spricht als für einen grundlegenden Fehler in der Architektur von Tor. Der Vorfall unterstreicht die entscheidende Rolle, die unabhängige Forscher bei der Aufrechterhaltung der Netzwerkintegrität spielen.
Gefällt Ihnen der Artikel? Erhalten Sie jeden Morgen einen wie diesen per E-Mail.
eine E-Mail pro Tag · Abmeldung mit zwei Klicks · kein Tracking durch Dritte
Machen Sie SSH-Warnungen zu einem Stoppschild, nicht zu einer Bremsschwelle
Die Warnung "Remote host identification has changed" ist kein Vorschlag, sondern ein Alarm. Wenn sich ein SSH-Host-Key ändert, halten Sie an. Überprüfen Sie den neuen Fingerabdruck über einen vertrauenswürdigen Out-of-Band-Kanal und aktualisieren Sie erst dann Ihre known_hosts-Datei. Löschen Sie niemals blind den alten Schlüssel oder akzeptieren Sie einen Ersatz ohne Bestätigung; genau so haben die Ebury-Angreifer Anmeldedaten gestohlen.
Deaktivieren Sie nach Möglichkeit die passwortbasierte SSH-Authentifizierung. Die Public-Key-Authentifizierung reduziert das Risiko von Passwortdiebstahl erheblich, macht aber Host-Identitätsprüfungen nicht optional. Ein starkes Schlüsselmanagement, idealerweise mit Hardware-Sicherheitsmodulen, stärkt Ihre Sicherheit weiter, doch ein kompromittierter Host-Key bleibt eine kritische Bedrohung.
Betreiber müssen diese Lektionen in ihre Arbeitsabläufe integrieren. Überprüfen Sie unerwartete SSH-Zugriffe und Authentifizierungsprotokolle sofort. Suchen Sie nach unbekannten Prozessen oder modifizierten OpenSSH-Komponenten – Ebury 1.8.3 kann sehr unauffällig sein. Untersuchen Sie vermutete Ebury-Infektionen anhand der ESET-Forschung zu Kompromittierungsindikatoren und konsultieren Sie kabas Bericht für detailliertere Informationen zum Vorfall.
Dieser Angriff auf 333 Tor-Knoten war eine deutliche Erinnerung: Sicherheit ist eine Kette, und Nutzergewohnheiten sind oft ihr schwächstes Glied. Machen Sie aus der SSH-Warnung ein Stoppschild, keine Bremsschwelle.
Häufig gestellte Fragen
Was ist bei dem Tor-SSH-Angriff passiert?
Angreifer nutzten kompromittierte Tor-Relays, um SSH-Verbindungen über Abfangserver umzuleiten, wo sie Anmeldedaten von Benutzern stehlen konnten, die Host-Key-Warnungen ignorierten.
Hat der Angriff den gesamten Tor-Datenverkehr kompromittiert?
Nein. Die gemeldete Kampagne zielte auf SSH-Verbindungen ab, während der normale Webverkehr durchgeleitet wurde. Tor ersetzt weder die Ende-zu-Ende-Verschlüsselung noch die SSH-Host-Verifizierung.
Was ist Ebury?
Ebury ist eine Linux-Backdoor und eine Malware-Familie zum Diebstahl von Anmeldedaten, die mit der Manipulation von OpenSSH und der Verbreitung von Infektionen über Server hinweg in Verbindung gebracht wird.
Wie kann ich SSH-Verbindungen schützen?
Lehnen Sie unerwartete Änderungen des Host-Keys ab, bis diese über einen vertrauenswürdigen Kanal verifiziert wurden, verwenden Sie SSH-Keys und deaktivieren Sie nach Möglichkeit die passwortbasierte SSH-Authentifizierung.
Was ist ExitMap?
ExitMap ist ein Tool zum Scannen von Tor Exit Relays, das vom Forscher kaba verwendet wurde, um Relays zu identifizieren, die SSH-Verbindungen manipuliert haben.