В пятницу, 2 октября 2026 года, в 9:35 утра 333 зараженных выходных узла начали скоординированную атаку, направленную на перехват SSH-соединений и сбор как можно большего объема незашифрованных данных. Tor использует примерно 3000 выходных ретрансляторов, и около 10% из них находились под контролем злоумышленников. Злоумышленники получили доступ к серверам в августе и незаметно развернули полезную нагрузку Ebury 1.8.3 — бэкдор для OpenSSH и программу для кражи учетных данных в Linux.
У атаки было две основные цели: сбор как можно большего объема незашифрованного почтового трафика и перехват SSH-соединений в атаке типа «человек посередине». Блокируя определенные порты, скомпрометированные выходные узлы обрабатывали только незашифрованную почту. Трафик на порту 22 перенаправлялся на один из 12 серверов перехвата SSH. Пользователи, проигнорировавшие предупреждение о ключе хоста, теряли свои пароли, их команды отслеживались, а их серверы заражались Ebury.
Автор сообщил о находках команде сетевого мониторинга проекта Tor в пятницу вечером. Команда подтвердила, что атака новая, и связалась с операторами затронутых ретрансляторов. К воскресенью, 4 октября, операторы начали отключать свои выходные узлы, а ретрансляторы были помечены как Bad Exit, чтобы клиенты перестали использовать их для выхода в сеть. В понедельник злоумышленники перезапустили некоторые ретрансляторы, но, поскольку они уже были помечены, они могли работать только как промежуточные. Все зараженные серверы в конце концов были отключены, а 4 октября на сетевых показателях появился заметный спад.
Команда заявила, что злоумышленник получил доступ к Linux-хостам и изменил файлы torrc невыходных ретрансляторов, превратив их в выходные узлы для SSH-атаки. Автор обнаружил зараженные узлы, проверив каждый из примерно 3000 выходных ретрансляторов с помощью exitmap и сопоставив SSH-отпечатки в закрепленных соединениях.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing