في يوم الجمعة 2 أكتوبر 2026، الساعة 9:35 صباحًا، بدأت 333 عقدة خروج مصابة حملة منسّقة لاعتراض اتصالات SSH وجمع أكبر قدر ممكن من البيانات غير المشفرة. تشغّل Tor نحو 3000 مرحّل خروج، وكان نحو 10% منها تحت سيطرة المهاجمين. كان المهاجمون قد حصلوا على إمكانية الوصول إلى الخوادم في أغسطس ونشروا بهدوء الحمولة Ebury 1.8.3، وهي باب خلفي لـ OpenSSH وأداة لسرقة بيانات الاعتماد على Linux.
كان للهجوم هدفان رئيسيان: جمع أكبر قدر ممكن من حركة البريد غير المشفرة، واعتراض اتصالات SSH في هجوم الرجل في الوسط. فمن خلال حظر منافذ معينة، كانت عقد الخروج المخترقة تتعامل مع البريد غير المشفر فقط. وكانت حركة المنفذ 22 تُوجَّه إلى أحد خوادم اعتراض SSH الـ12. أما المستخدمون الذين تجاهلوا تحذير مفتاح المضيف، فقد سُرقت كلمات مرورهم، وراقبت أوامرهم، وأُصيبت خوادمهم بـ Ebury.
أبلغ الكاتب فريق صحة الشبكة في مشروع Tor بالنتائج مساء يوم الجمعة. أكّد الفريق أن الهجوم جديد، وتواصل مع مشغّلي المرحّلات المتضررة. وبحلول الأحد 4 أكتوبر، بدأ المشغّلون بإيقاف عقد الخروج الخاصة بهم، وتم وسم المرحّلات بأنها Bad Exit كي يتوقف العملاء عن استخدامها للخروج بالحركة. وأعاد المهاجمون تشغيل بعض المرحّلات يوم الاثنين، لكن لأنها كانت موسومة مسبقًا، لم تستطع العمل إلا كمرحّلات وسيطة. أُغلقت جميع الخوادم المصابة في النهاية، وظهر انخفاض واضح في مقاييس الشبكة في 4 أكتوبر.
قال الفريق إن المهاجم حصل على وصول إلى مضيفي Linux وعدّل ملفات torrc للمرحّلات غير الخارجة ليحوّلها إلى عقد خروج لهجوم SSH. وعثر الكاتب على العقد المصابة باختبار كل مرحّل خروج من نحو 3000 مرحّل باستخدام exitmap، والتحقق مما إذا كانت بصمات SSH متطابقة عبر الاتصالات المثبّتة.
المصدر: Hacker News · لخّصه HeadlinesBriefing