🗓️ Source : kaba.cx, publié le 20 octobre 2026. L’auteur, un opérateur Tor expérimenté, documente une attaque coordonnée découverte le vendredi 2 octobre 2026 à 09h35.

🎯 Contexte de l’attaque

Des attaquants ont compromis 333 nœuds de sortie Tor sur un total d’environ 3 000 relais de sortie, soit environ 10% du réseau Tor. L’accès initial aux serveurs avait été obtenu deux mois auparavant, en août 2026, avec un déploiement silencieux du payload Ebury 1.8.3 (backdoor OpenSSH et voleur d’identifiants pour Linux).

⚙️ Mécanisme de l’attaque

L’attaque poursuivait deux objectifs principaux :

  • Collecte de trafic mail non chiffré : en bloquant certains ports, les nœuds malveillants ne traitaient que le trafic mail en clair
  • Interception SSH (MITM) : toute connexion SSH sur le port 22 transitant par un nœud infecté était redirigée vers l’un des 12 serveurs d’interception SSH

En cas de connexion SSH via un nœud compromis, l’attaquant effectuait trois actions :

  1. Vol du mot de passe
  2. Observation en temps réel des commandes tapées (MITM)
  3. Infection du serveur cible avec Ebury via une commande Perl encodée en base64

🔍 Méthode de détection

L’auteur a utilisé l’outil exitmap pour tester chaque relais de sortie en vérifiant si l’empreinte SSH reçue était légitime et si la connexion transitait par les serveurs d’interception. L’outil sshesame (honeypot SSH) a permis de confirmer l’utilisation de paramiko (bibliothèque Python SSH) par les attaquants et d’observer la méthode d’installation d’Ebury via Perl.

📅 Chronologie de la réponse

  • Ven. 2 oct. : Début de l’interception
  • Dim. 4 oct. : Annonce aux opérateurs par l’équipe Tor Network Health ; relais marqués BadExit
  • Lun. 5 oct. : Redémarrage de relais par les attaquants (réduits au rôle de middle relays) ; extinction complète des serveurs infectés

❓ Questions ouvertes

Le vecteur d’accès initial reste inconnu. Une théorie évoque une compromission de l’hébergeur lui-même. L’identité des attaquants n’est pas établie ; l’usage d’Ebury et la collecte massive de données suggèrent un groupe à motivation financière, sans attribution formelle.

📄 Type d’article : Post-mortem technique et rapport d’incident rédigé par le découvreur de l’attaque, visant à documenter les mécanismes de l’attaque, la méthode de détection et la chronologie de la remédiation.

🧠 TTPs et IOCs détectés

TTP

  • T1557 — Adversary-in-the-Middle (Collection)
  • T1556.004 — Modify Authentication Process: Network Device Authentication (Credential Access)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1543 — Create or Modify System Process (Persistence)
  • T1110 — Brute Force (Credential Access)
  • T1040 — Network Sniffing (Collection)
  • T1505.004 — Server Software Component: IIS Components (Persistence)

Malware / Outils

  • Ebury (backdoor)
  • exitmap (tool)
  • sshesame (tool)
  • paramiko (tool)

🟡 Indice de vérification factuelle : 40/100 (moyenne)

  • ⬜ kaba.cx — source non référencée (0pts)
  • ✅ 6005 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 10 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://kaba.cx/posts/20261020_Tor/