IT-Connect : Début octobre 2026, 333 relais de sortie du réseau Tor, compromis, redirigeaient les connexions SSH vers des serveurs contrôlés par les attaquants pour voler les mots de passe et infecter les machines de destination avec Ebury. Voici ce que l’on sait.
Cette affaire a été révélée le 20 octobre par le chercheur Kaba, dans un article publié sur son blog. Tout a commencé le vendredi 2 octobre au matin : en se connectant à l’un de ses serveurs en SSH via Tor, il tombe sur le message suivant : « WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! ». Vous savez, ce message qui arrive quand on réinstalle sa machine ou que l’on change ses clés SSH… Sauf que cette fois, l’empreinte présentée était celle d’un serveur pirate.
Pour rappel, Tor fait transiter le trafic par plusieurs relais gérés par des bénévoles. Le dernier, le relais de sortie, établit la connexion vers la destination finale. Le réseau compte environ 3 000 relais de sortie : d’après Kaba, les attaquants en contrôlaient près de 10 %.
