Pada Jumat, 2 Oktober 2026, pukul 9.35 pagi, 333 exit node yang terinfeksi memulai kampanye terkoordinasi untuk mencegat koneksi SSH dan mengumpulkan sebanyak mungkin data tidak terenkripsi. Tor mengoperasikan sekitar 3000 relay exit, dan sekitar 10% di antaranya berada di bawah kendali penyerang. Para penyerang telah mendapatkan akses ke server pada Agustus dan diam-diam memasang payload Ebury 1.8.3, sebuah backdoor OpenSSH dan pencuri kredensial untuk Linux.
Serangan ini memiliki dua tujuan utama: mengumpulkan sebanyak mungkin lalu lintas email tidak terenkripsi, dan mencegat koneksi SSH dalam serangan man-in-the-middle. Dengan memblokir port tertentu, exit node yang disusupi hanya menangani email tidak terenkripsi. Lalu lintas pada Port 22 dialihkan ke salah satu dari 12 server intersepsi SSH. Pengguna yang mengabaikan peringatan host key kehilangan kata sandi mereka, perintah mereka diamati, dan server mereka terinfeksi Ebury.
Penulis melaporkan temuan tersebut kepada tim kesehatan jaringan Tor Project pada Jumat malam. Tim mengonfirmasi bahwa serangan itu baru dan menghubungi operator relay yang terdampak. Pada Minggu, 4 Oktober, para operator mulai mematikan exit node mereka, dan relay ditandai sebagai Bad Exit agar klien berhenti menggunakannya untuk keluar lalu lintas. Para penyerang memulai ulang sebagian relay pada Senin, tetapi karena sudah ditandai, relay tersebut hanya dapat berfungsi sebagai middle relay. Semua server yang terinfeksi akhirnya dimatikan, dan penurunan metrik jaringan yang jelas terlihat pada 4 Oktober.
Tim menyatakan bahwa penyerang mendapatkan akses ke host Linux dan mengedit berkas torrc dari relay non-exit untuk mengubahnya menjadi exit untuk serangan SSH. Penulis menemukan node yang terinfeksi dengan menguji setiap dari sekitar 3000 relay exit menggunakan exitmap, memeriksa apakah sidik jari SSH cocok pada koneksi yang di-pin.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing