El viernes 2 de octubre de 2026, a las 9:35 a. m., 333 nodos de salida infectados comenzaron una campaña coordinada para interceptar conexiones SSH y recopilar la mayor cantidad posible de datos no cifrados. Tor opera aproximadamente 3000 retransmisiones de salida, y alrededor del 10 % estaba bajo el control de los atacantes. Los atacantes habían obtenido acceso a los servidores en agosto e implantado silenciosamente la carga Ebury 1.8.3, una puerta trasera de OpenSSH y un programa de robo de credenciales para Linux.
El ataque tenía dos objetivos principales: recopilar la mayor cantidad posible de tráfico de correo no cifrado e interceptar conexiones SSH mediante un ataque de intermediario. Al bloquear ciertos puertos, los nodos de salida comprometidos solo manejaban correo no cifrado. El tráfico del puerto 22 se redirigía a uno de los 12 servidores de interceptación SSH. Los usuarios que ignoraron la advertencia de clave de host vieron robadas sus contraseñas, observados sus comandos y sus servidores infectados con Ebury.
El autor informó de los hallazgos al equipo de salud de la red del Proyecto Tor la noche del viernes. El equipo confirmó que el ataque era nuevo y contactó a los operadores de las retransmisiones afectadas. Para el domingo 4 de octubre, los operadores comenzaron a apagar sus nodos de salida, y las retransmisiones fueron marcadas como Bad Exit para que los clientes dejaran de usarlas para salir del tráfico. Los atacantes reiniciaron algunas retransmisiones el lunes, pero, como ya estaban marcadas, solo podían funcionar como retransmisiones intermedias. Finalmente, todos los servidores infectados se apagaron, y el 4 de octubre apareció una caída clara en las métricas de la red.
El equipo explicó que el atacante obtuvo acceso a los hosts Linux y editó los archivos torrc de retransmisiones que no eran de salida para convertirlas en nodos de salida para el ataque SSH. El autor encontró los nodos infectados probando cada una de las aproximadamente 3000 retransmisiones de salida con exitmap, comprobando si las huellas SSH coincidían en conexiones fijadas.
Fuente: Hacker News · Resumido por HeadlinesBriefing