Una operación coordinada consiguió tomar el control de 333 nodos de salida de la red Tor y reconfigurarlos para desviar conexiones SSH hacia servidores bajo su mando, además de filtrar el correo electrónico sin cifrar que atravesaba esa infraestructura. El incidente llegó a representar cerca del 7,46 % de la capacidad de salida utilizable de la red, expuso contraseñas de administradores de sistemas y dejó la puerta abierta a la instalación del backdoor Ebury en servidores Linux.
- Alcance del compromiso: 333 nodos de salida secuestrados, 342 relays modificados para permitir tráfico SSH y 24 sistemas convertidos en nuevas salidas.
- Método: una contraseña válida reutilizada, el backdoor Ebury y una clave RSA que los investigadores no lograron localizar entre las claves autorizadas de un segundo servidor.
- Reacción: el equipo de salud de la red marcó la infraestructura maliciosa con el flag BadExit y para la tarde del 5 de octubre no quedaba ningún nodo activo.
El punto de entrada: una contraseña reutilizada
Según el relato de los voluntarios de Tor, el asalto arrancó a finales de agosto, cuando el atacante aprovechó una contraseña válida que había sido reutilizada para acceder a un servidor de gestión de la red. Una vez dentro, instaló Ebury, un backdoor escrito para Linux descubierto hace doce años y que sigue demostrando una capacidad de persistencia notable: los análisis del incidente identificaron la variante Ebury 1.8.3 como herramienta central de la campaña.
Desde ese servidor de gestión, el intruso se conectó por SSH a un segundo nodo de Tor, denominado Switzerland2, mediante una clave RSA que, por razones que la investigación todavía no explica, no aparecía entre las claves autorizadas de esa máquina. Con el control administrativo de Switzerland2, los atacantes replicaron Ebury en el equipo y, finalmente, reconfiguraron los dos nodos de salida que ese servidor alojaba. Ese fue el paso que transformó un compromiso puntual de hosts en una operación de intercepción a escala de red.
Así funcionaba la intercepción de SSH
La fase activa de la campaña se desplegó en la mañana del 2 de octubre: los 333 nodos comprometidos comenzaron a redirigir el tráfico SSH, incluido el puerto 22, hacia un clúster de 12 servidores controlados por los atacantes y dedicados a la captura de credenciales. Para dar cobertura a esas conexiones, otros 342 relays fueron alterados con el fin de permitir SSH, ampliando así la probabilidad de que un usuario cayera en infraestructura comprometida.
El gancho era el clásico aviso de huella de clave de host que no coincide. Un administrador habituado a su servidor detectaría el cambio, pero quien se conectaba por primera vez podía aceptar la nueva clave sin sospechar nada, porque hacerlo es lo normal en un primer acceso. A partir de ahí, el atacante capturaba la contraseña, se conectaba al servidor real y reenviaba la sesión para que todo siguiera funcionando con aparente normalidad. Durante ese lapso podía observar los comandos escritos, reutilizar la contraseña robada, comprobar el nivel de acceso de la víctima e intentar implantar el backdoor Ebury vía OpenSSH.
Las conexiones con autenticación por clave pública quedaron, en cambio, fuera del alcance práctico del ataque: la firma de inicio de sesión está ligada a esa conexión concreta y no puede replicarse sin más contra el servidor legítimo. Junto al robo de credenciales, la infraestructura filtraba los flujos interceptados para extraer correo sin cifrar y otra telemetría sensible.
Detección, purga y lecciones operativas
El 2 de octubre, un investigador que rastreaba los nodos con herramientas como exitmap y honeypots sshesame localizó los 333 relays que redirigían conexiones hacia los servidores de captura. El equipo de salud de la red de Tor actuó con rapidez: el 4 de octubre toda la infraestructura maliciosa estaba identificada y marcada con el flag BadExit, lo que la sacó del conjunto de salidas utilizables, y el 5 de octubre las intervenciones de operadores y las bajas autónomas neutralizaron los nodos restantes. Algunos análisis de la campaña elevan el impacto hasta cerca del 10 % de la capacidad de salida de la red, una cifra que conviene leer junto al dato de peso por consenso del 7,46 % en el pico del 4 de octubre.
Las recomendaciones que deja el caso son concretas y urgentes: eliminar por completo la autenticación SSH por contraseña y exigir claves más tokens de hardware con FIDO2/WebAuthn; entrenar a los equipos para no aceptar jamás un cambio inesperado de huella de host; y auditar binarios de OpenSSH, módulos PAM y librerías compartidas en busca de artefactos de Ebury, especialmente en máquinas con exposición pública.
El episodio confirma un principio incómodo para cualquier red de anonimato: la confianza depositada en los operadores de nodos es un punto único de fallo, y ningún diseño criptográfico compensa un servidor mal administrado. Tor sigue siendo una herramienta valiosa, pero su capa de salida es, por definición, el lugar donde el anonimato se encuentra con el mundo real. La reacción en menos de 72 horas demuestra madurez operativa; el hecho de que un backdoor de hace doce años siguiera sirviendo para capturar sesiones SSH revela, en cambio, cuánto margen queda en las prácticas de administración de sistemas que sostienen la red.
Fuentes y referencias