शुक्रवार, 2 अक्टूबर 2026 को सुबह 9:35 बजे, 333 संक्रमित एग्जिट नोड्स ने SSH कनेक्शन इंटरसेप्ट करने और यथासंभव अधिक असुरक्षित डेटा एकत्र करने के लिए एक समन्वित अभियान शुरू किया। Tor लगभग 3000 एग्जिट रिले संचालित करता है, और उनमें से लगभग 10% हमलावरों के नियंत्रण में थे। हमलावरों ने अगस्त में सर्वरों तक पहुंच हासिल कर ली थी और चुपचाप Linux के लिए OpenSSH बैकडोर और क्रेडेंशियल चोरी करने वाला Ebury 1.8.3 पेलोड तैनात कर दिया था।
इस हमले के दो मुख्य लक्ष्य थे: यथासंभव अधिक असुरक्षित मेल ट्रैफ़िक एकत्र करना, और मैन-इन-द-मिडल हमले में SSH कनेक्शन इंटरसेप्ट करना। कुछ पोर्ट ब्लॉक करके, समझौता किए गए एग्जिट नोड्स केवल असुरक्षित मेल संभालते थे। पोर्ट 22 का ट्रैफ़िक 12 SSH इंटरसेप्शन सर्वरों में से एक पर रीडायरेक्ट किया जाता था। होस्ट की चेतावनी को नज़रअंदाज़ करने वाले उपयोगकर्ताओं के पासवर्ड चोरी हो गए, उनके कमांड देखे गए, और उनके सर्वर Ebury से संक्रमित हो गए।
लेखक ने शुक्रवार शाम को अपने निष्कर्ष Tor Project की नेटवर्क हेल्थ टीम को भेजे। टीम ने पुष्टि की कि यह हमला नया था और प्रभावित रिले ऑपरेटरों से संपर्क किया। रविवार, 4 अक्टूबर तक, ऑपरेटरों ने अपने एग्जिट नोड्स बंद करना शुरू कर दिया, और रिलेज़ को Bad Exit चिह्नित किया गया ताकि क्लाइंट उनसे ट्रैफ़िक बाहर निकालना बंद कर दें। हमलावरों ने सोमवार को कुछ रिले फिर से शुरू किए, लेकिन चिह्नित होने के कारण वे केवल मिडल रिले के रूप में काम कर सकते थे। अंततः सभी संक्रमित सर्वर बंद कर दिए गए, और 4 अक्टूबर को नेटवर्क मेट्रिक्स में स्पष्ट गिरावट दिखी।
टीम ने कहा कि हमलावर ने Linux होस्ट तक पहुंच हासिल की और SSH हमले के लिए गैर-एग्जिट रिले की torrc फ़ाइलों को संपादित करके उन्हें एग्जिट में बदल दिया। लेखक ने लगभग 3000 एग्जिट रिले में से प्रत्येक का exitmap से परीक्षण करके संक्रमित नोड्स खोजे, यह जांचते हुए कि पिन किए गए कनेक्शनों में SSH फ़िंगरप्रिंट मेल खाते हैं या नहीं।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित