Ne oldu? Saldırganlar 1-5 Ekim 2026 arasında Tor ağındaki yüzlerce çıkış rölesinin ayarlarını değiştirdi. Amaç, Tor üzerinden sunucularına SSH ile bağlanan kişilerin şifrelerini yakalamaktı. Olay 20-21 Ekim’de kamuoyuna açıklandı. Kontrol tarihi: 24 Ekim 2026 (TR).
Olayın özeti
- kaba adlı bir araştırmacı 2 Ekim’de Tor’un yaklaşık 3.000 çıkış rölesini taradı. 333 çıkışın SSH trafiğini aynı 12 ara sunucuya yönlendirdiğini buldu.
- Dizin verisine göre 59 işletmeciye ait 377 röle saldırganın ayarına geçmişti. 4 Ekim’deki zirvede bunlar Tor çıkış kapasitesinin %7,46’sını oluşturuyordu.
- Ara sunucu kendi anahtarını gösteriyordu. Kullanıcı “sunucu kimliği değişti” uyarısını onaylayıp şifreyle giriş yaparsa şifre yakalanıyordu. Anahtar (key) ile girişler aktarılamıyordu.
- Ele geçirilen rölelerin çoğunda şifreli e-posta portları (IMAPS/POP3S) kapatılıp şifresiz POP3/IMAP açılmıştı.
- Tor Projesi 4 Ekim’de röleleri işaretledi (BadExit), 5 Ekim’de saldırgan ayarına sahip röle kalmadı.
Kök neden: tekrar kullanılan şifre
En büyük etkilenen röle grubunun işletmecisi, yönetim sunucusuna Ebury adlı OpenSSH arka kapısının kurulduğunu açıkladı. Saldırgan 28 Ağustos’ta bir işletmeci şifresiyle girmişti. İşletmeci hatayı kendisi sıraladı: aynı şifre SSH’ta, sudo’da ve yedekte kullanılmış, şifre düz metin saklanmış ve internete açık sunucuda şifreyle giriş açık bırakılmış.
Ne yapmalısın?
- 1-5 Ekim arasında Tor üzerinden SSH’a bağlanıp değişmiş bir sunucu anahtarını onayladıysan, yazdığın şifreyi çalınmış say: değiştir ve o sunucuda Ebury izlerine bak.
- Sunucularında şifreyle girişi kapat, yalnız SSH anahtarı kullan. Rehber: SSH anahtarı oluşturma
- “Sunucu kimliği değişti” uyarısını asla rastgele onaylama.
- Aynı şifreyi iki yerde kullanma; bir parola yöneticisi kullan.
Kaynaklar: The Hacker News, Ars Technica, SecureWorld (işletmecinin değerlendirmesi). Kontrol tarihi: 24 Ekim 2026.