Una investigación de ESET destapó que 333 relés de salida de Tor estuvieron desviando conexiones SSH hacia servidores controlados por los atacantes entre el 1 y el 5 de octubre de 2026. Quien se conectó por SSH a través de Tor en esos días pudo entregar su contraseña sin ver ninguna alerta.
Qué pasó con los relés de salida de Tor
Los nodos comprometidos formaban parte de la red desde enero de 2026 y sumaban cerca del 10% de la capacidad total de salida. En vez de entregar el tráfico a su destino, redirigían cualquier conexión SSH que saliera por el puerto 22 hacia una de 36 direcciones IP propias.
En esos servidores esperaba una versión troyanizada de OpenSSH. El truco estaba en la respuesta: el servidor falso enviaba la misma clave de anfitrión (host key) que el servidor real, así que el cliente no mostraba el aviso típico de que la clave había cambiado. La víctima escribía su contraseña en una sesión aparentemente normal y el dato quedaba registrado.
Según ESET, todo apunta al grupo detrás de Ebury, un rootkit que lleva más de 15 años infectando servidores Linux y que ya suma más de 400.000 servidores comprometidos. Ese mismo grupo ya había usado relés de Tor en 2023 para robar criptomonedas.
Quién estuvo expuesto y qué hacer ahora
El riesgo se concentró en quienes administraron servidores por SSH a través de Tor entre el 1 y el 5 de octubre, usando autenticación con contraseña. ESET también detectó desvíos hacia servicios ocultos (.onion), aunque en mucha menor medida.
Si te conectaste en esas fechas
- Cambia ya la contraseña de cualquier cuenta a la que accediste por SSH vía Tor en esa ventana.
- Verifica tu authorized_keys y busca claves que no reconozcas; revísalas también en busca de actividad inusual o infecciones tipo rootkit.
- Si otra persona tenía acceso legítimo, pídele que rote su contraseña y revoque las claves que no identifique.
- Para el acceso remoto, desactiva la autenticación por contraseña y usa solo claves, con verificación de la host key por un canal independiente.
La respuesta de Tor y Ebury
Tras el aviso de ESET, el Proyecto Tor retiró los nodos maliciosos y bloqueó sus direcciones para que no volvieran a sumarse a la red. ESET publicó además la lista de indicadores de compromiso para que otros operadores revisen sus sistemas.
El apunte incómodo es simple: un relé de salida puede ver y manipular el tráfico que sale sin cifrado adicional, y aunque SSH cifra el contenido, un servidor de destino falso con la clave copiada basta para capturar la contraseña de quien no verifica. Por eso la recomendación de Tor sigue siendo evitar contraseñas y apoyarse en claves verificadas.
Fuente: The Hacker News
Foto: The Hacker News
Top comments (0)