Na sexta-feira, 2 de outubro de 2026, às 9h35, 333 nós de saída infectados iniciaram uma campanha coordenada para interceptar conexões SSH e coletar o máximo possível de dados não criptografados. O Tor opera cerca de 3000 retransmissores de saída, e aproximadamente 10% estavam sob controle dos atacantes. Eles haviam obtido acesso aos servidores em agosto e implantado discretamente a carga Ebury 1.8.3, uma porta dos fundos do OpenSSH e um roubador de credenciais para Linux.
O ataque tinha dois objetivos principais: coletar o máximo possível de tráfego de e-mail não criptografado e interceptar conexões SSH em um ataque de intermediário. Ao bloquear determinadas portas, os nós de saída comprometidos tratavam apenas e-mails não criptografados. O tráfego da porta 22 era redirecionado para um dos 12 servidores de interceptação SSH. Usuários que ignoraram o aviso de chave do host tiveram suas senhas roubadas, seus comandos observados e seus servidores infectados pelo Ebury.
O autor relatou as descobertas à equipe de saúde da rede do Projeto Tor na sexta-feira à noite. A equipe confirmou que o ataque era novo e entrou em contato com os operadores dos retransmissores afetados. No domingo, 4 de outubro, os operadores começaram a desligar seus nós de saída, e os retransmissores foram marcados como Bad Exit para que os clientes parassem de usá-los para sair do tráfego. Os atacantes reiniciaram alguns retransmissores na segunda-feira, mas, como já estavam marcados, eles só podiam funcionar como retransmissores intermediários. Todos os servidores infectados foram eventualmente desligados, e uma queda clara nas métricas da rede apareceu em 4 de outubro.
A equipe disse que o atacante obteve acesso a hosts Linux e editou os arquivos torrc de retransmissores não de saída para transformá-los em nós de saída para o ataque SSH. O autor encontrou os nós infectados testando cada um dos cerca de 3000 retransmissores de saída com o exitmap, verificando se as impressões digitais SSH coincidiam em conexões fixadas.
Fonte: Hacker News · Resumido por HeadlinesBriefing