2026年10月2日（星期五）上午9点35分，333个受感染的出口节点开始协同行动，试图拦截SSH连接并尽可能收集未加密的数据。Tor大约运行着3000个出口中继，其中约10%处于攻击者控制之下。攻击者早在8月就已获得服务器访问权限，并悄悄部署了Ebury 1.8.3载荷，这是一个针对Linux的OpenSSH后门和凭据窃取程序。
此次攻击有两个主要目标：尽可能多地收集未加密的邮件流量，并以中间人攻击方式拦截SSH连接。受感染的出口节点通过屏蔽某些端口，只处理未加密的邮件。端口22上的流量被重定向到12台SSH拦截服务器之一。忽略主机密钥警告的用户，其密码被窃取、命令被监视，服务器也被植入Ebury。
作者于星期五晚上将调查结果报告给Tor项目的网络健康团队。该团队确认这是一种新型攻击，并联系了受影响的中继运营者。到10月4日（星期日），运营者开始关闭其出口节点，这些中继也被标记为Bad Exit，使客户端停止将其用于出口流量。攻击者于星期一重新启动了部分中继，但由于它们已被标记，只能作为中间中继运行。所有受感染的服务器最终都被关闭，并且网络指标在10月4日出现了明显下降。
团队表示，攻击者获得了Linux主机的访问权限，并编辑了非出口中继的torrc文件，将其改为出口节点以发动SSH攻击。作者通过使用exitmap测试约3000个出口中继中的每一个，并检查固定连接中的SSH指纹是否一致，从而找到了受感染的节点。
来源: Hacker News · 由HeadlinesBriefing整理摘要