L'avertissement SSH qui a exposé 333 nœuds Tor

Le 2 octobre, 333 relais de sortie Tor compromis ont commencé à rediriger les connexions SSH via 12 serveurs d'interception, représentant environ 10 % des relais de sortie du réseau. Bien qu'il s'agisse d'une part plus faible de sa bande passante totale, cette campagne coordonnée a effectivement transformé une partie importante du réseau d'anonymat en arme.

Le piège était insidieux : le trafic web normal passait sans encombre, mais le trafic SSH sur le Port 22 était altéré. Les utilisateurs tentant une connexion SSH étaient redirigés à leur insu vers l'un des 12 serveurs d'interception, déclenchant un avertissement critique : « Remote host identification has changed » (L'identification de l'hôte distant a changé).

De nombreux développeurs, habitués à ignorer de telles invites, ont probablement cliqué sans réfléchir. Mais ignorer cette alerte et poursuivre avec l'authentification par mot de passe a exposé leurs identifiants, enregistré chaque commande saisie et facilité le déploiement d'Ebury, une porte dérobée OpenSSH et un voleur d'identifiants, sur leurs serveurs.

L'avertissement lui-même est l'élément clé. Les clés d'hôte SSH permettent à un client de vérifier l'identité d'un serveur ; une discordance peut signaler des événements bénins, comme une reconstruction légitime du serveur. Cependant, c'est un indicateur tout aussi puissant d'une man-in-the-middle attack active. Cet incident a démontré sans équivoque que cette invite ne doit jamais être traitée comme une routine ou ignorée sans une enquête rigoureuse.

Les attaquants ont posé leur piège bien à l'avance, compromettant les hôtes relais en août et installant Ebury, une porte dérobée Linux et un voleur d'identifiants. Ils ont ensuite modifié les politiques torrc sur 342 relais pour autoriser explicitement le port 22, convertissant au moins 24 relais non-sortie en nœuds de sortie. Cela a permis au trafic SSH de sortir par des relais qui ne le transporteraient normalement pas, redirigeant les connexions vers l'un des 12 serveurs d'interception SSH dédiés.

Lorsqu'une victime rencontrait l'avertissement Remote host identification has changed et acceptait la clé SSH substituée, les conséquences étaient rapides et graves. Se connecter avec un mot de passe déclenchait une attaque multidimensionnelle :

• Vol d'identifiants
• Surveillance complète des commandes
• Une tentative automatisée d'ouvrir une seconde session SSH vers le serveur de destination et d'installer Ebury, souvent via des installateurs encodés en base64 avec des privilèges sudo.

Cet incident ne signifie pas que Tor a chiffré ou exposé chaque connexion ; le réseau fournit l'anonymat de routage, pas une protection de bout en bout. Tor achemine le trafic web standard (ports 80/443) sans le toucher. La vérification de l'hôte SSH reste la protection essentielle contre un relais de sortie usurpant l'identité de la destination, une défense que 333 relais compromis — représentant 10 % des nœuds de sortie de Tor et 7,46 % de sa bande passante de sortie totale — ont contournée.

Cet avertissement SSH, « Remote host identification has changed », suscite généralement un haussement d'épaules et un clic. Cette fois, un chercheur, kaba, l'a vu comme un appel à l'action. Au lieu d'ignorer l'empreinte inattendue, kaba a utilisé ExitMap, un scanner de relais de sortie Tor spécialisé, pour tester systématiquement le réseau.

La méthodologie de kaba était élégante : établir une connexion entre deux serveurs contrôlés, acheminer le trafic via chaque relais de sortie Tor, et vérifier les empreintes SSH altérées. Cette approche systématique s'est avérée cruciale. Elle a permis à kaba de distinguer une campagne d'interception coordonnée et généralisée de simples reconstructions de serveurs ou de mauvaises configurations, confirmant ainsi l'ampleur sans précédent de l'attaque. Pour ceux qui s'intéressent à l'analyse réseau, Exitmap: Fast and Modular Tor Exit Relay Scanner offre une plongée plus approfondie dans cet outil puissant.

Dès le 4 octobre, l'équipe de santé du réseau Tor avait marqué les relais malveillants comme BadExit. Ils ont été rapidement retirés du consensus actif du réseau d'ici le 5 octobre. L'équipe Tor a évalué qu'il s'agissait d'une attaque sans précédent, témoignant de sa sophistication, plutôt que d'une faille fondamentale dans l'architecture de Tor. L'incident souligne le rôle critique que jouent les chercheurs indépendants dans le maintien de l'intégrité du réseau.

Cet avertissement "Remote host identification has changed" n'est pas une suggestion ; c'est une alarme. Lorsqu'une clé d'hôte SSH change, arrêtez-vous. Vérifiez la nouvelle empreinte via un canal hors bande en lequel vous avez confiance, puis — et seulement alors — mettez à jour votre fichier known_hosts. Ne supprimez jamais aveuglément l'ancienne clé et n'acceptez jamais un remplacement sans confirmation ; c'est précisément ainsi que les attaquants d'Ebury ont récolté des identifiants.

Désactivez l'authentification SSH par mot de passe partout où cela est possible. L'authentification par clé publique réduit considérablement le risque de vol de mot de passe, mais elle ne rend pas les vérifications d'identité de l'hôte facultatives. Une gestion rigoureuse des clés, idéalement avec des modules de sécurité matériels, renforce davantage votre posture, mais une clé d'hôte compromise reste une menace critique.

Les opérateurs doivent intégrer ces leçons dans leurs flux de travail. Examinez immédiatement les accès SSH inattendus et les journaux d'authentification. Recherchez des processus inconnus ou des composants OpenSSH modifiés — Ebury 1.8.3 peut être furtif. Enquêtez sur les infections suspectées par Ebury en utilisant les recherches d'ESET pour les indicateurs de compromission, et consultez le rapport de kaba pour plus de détails sur l'incident.

Cette attaque sur 333 nœuds Tor a été un rappel brutal : la sécurité est une chaîne, et les habitudes des utilisateurs en sont souvent le maillon le plus faible. Faites de cet avertissement SSH un panneau d'arrêt, pas un simple ralentisseur.

Que s'est-il passé lors de l'attaque SSH sur Tor ?

Les attaquants ont utilisé des relais Tor compromis pour rediriger les connexions SSH via des serveurs d'interception, où ils pouvaient voler les identifiants des utilisateurs ayant ignoré les avertissements de clé d'hôte.

L'attaque a-t-elle compromis tout le trafic Tor ?

Non. La campagne signalée ciblait les connexions SSH, tandis que le trafic web ordinaire passait normalement. Tor ne remplace pas le chiffrement de bout en bout ni la vérification de l'hôte SSH.

Qu'est-ce qu'Ebury ?

Ebury est une famille de malwares Linux de type backdoor et de vol d'identifiants associée à la manipulation d'OpenSSH et à la propagation d'infections sur les serveurs.

Comment puis-je protéger les connexions SSH ?

Rejetez les changements de clé d'hôte inattendus jusqu'à ce qu'ils soient vérifiés via un canal de confiance, utilisez des clés SSH et désactivez l'authentification SSH par mot de passe lorsque cela est possible.

Qu'est-ce qu'ExitMap ?

ExitMap est un outil d'analyse des relais de sortie Tor, utilisé par le chercheur kaba pour identifier les relais ayant altéré les connexions SSH.