Исследователь по кибербезопасности под псевдонимом Kaba выявил масштабную атаку на инфраструктуру Tor: злоумышленники установили контроль над сотнями серверов, обслуживавших выходные узлы сети, и использовали их для перехвата SSH-трафика. Соединения перенаправлялись на подконтрольные машины, где фиксировались пароли, отслеживались сессии и предпринимались попытки внедрения вредоносного ПО Ebury.

Аномалию специалист заметил 2 октября 2026 года: при подключении к собственному серверу через Tor система OpenSSH предупредила о смене host key. После сканирования примерно 3 тыс. выходных узлов он обнаружил 333 узла, перенаправлявших SSH-соединения на одни и те же 12 серверов-перехватчиков.

На взломанных хостах менялась конфигурация torrc и открывался порт 22. На ряде узлов отключались защищённые порты IMAPS и POP3S, а вместо них включались незашифрованные POP3 и IMAP — по оценке исследователя, атакующих интересовал и открытый почтовый трафик.

Схема была рассчитана на вход по паролю: сервер злоумышленников имитировал легитимный SSH-сервер и предъявлял собственный host key. Если пользователь игнорировал предупреждение о смене ключа или подтверждал новый ключ и вводил пароль, данные попадали к атакующим, после чего устанавливалось соединение с реальным сервером. Перехват входа по SSH-ключу таким способом был невозможен.

Анализ публичных данных Tor показал, что с 1 по 4 октября 2026 года подозрительную exit policy получили 377 узлов, связанных с 59 операторами; на пике 4 октября они обеспечивали около 7,46% всей выходной пропускной способности сети. Совпадение конфигураций само по себе не является доказательством компрометации.

Один из пострадавших операторов описал взлом семейства узлов Quetzalcoatl: 28 августа атакующие вошли по паролю на управляющий сервер в Contabo, за пять минут получили root-привилегии и установили бэкдор Ebury версии 1.8.3, а затем проникли на VPS Switzerland2 во FranTech, где работали два выходных узла. Причиной первоначального проникновения стала слабая защита — один и тот же пароль использовался для SSH, sudo и шифрования резервных копий и хранился в открытом виде. Значительная часть пострадавших узлов размещалась у FranTech/BuyVM, поэтому не исключена компрометация инфраструктуры провайдера, хотя подтверждений этой версии нет.

Специалисты Tor Project 4 октября начали помечать проблемные узлы флагами BadExit и MiddleOnly, а к 5 октября все узлы с вредоносной конфигурацией исчезли из актуального Tor Consensus. Пользователям, которые с 1 по 5 октября подключались по SSH через Tor, принимали незнакомый или изменившийся host key и вводили пароль, рекомендуется считать учётные данные скомпрометированными, сменить их и проверить серверы на наличие инфостилера Ebury.