Исследователь по кибербезопасности под псевдонимом Kaba 2 октября 2026 года обнаружил масштабную атаку на инфраструктуру анонимной сети Tor. Злоумышленники скомпрометировали более 300 выходных узлов, перенаправляя через них трафик SSH-соединений для кражи паролей и отслеживания сессий. В результате атаки были скомпрометированы серверы, обслуживающие около 7,46% всей выходной пропускной способности сети на пике инцидента 4 октября. Команда Tor Network Health подтвердила получение уведомлений от операторов о взломе их серверов и начала помечать проблемные узлы флагами BadExit и MiddleOnly.
Механизм атаки строился на перехвате паролевой аутентификации. Злоумышленники модифицировали конфигурацию torrc на взломанных хостах, открывая порт 22 и имитируя легитимный SSH-сервер с подмененным ключом. Если пользователь игнорировал предупреждение о смене ключа или подтверждал его, вводив пароль, данные передавались на серверы атакующих. Параллельно на ряде узлов отключались защищенные протоколы IMAPS и POP3S, а вместо них активировались незашифрованные версии POP3 и IMAP, что позволяло перехватывать почтовый трафик. Также фиксировались попытки установки вредоносного ПО Ebury, маскирующегося внутри OpenSSH.
В одном из подтвержденных случаев атакующие 28 августа 28 августа вошли на управляющий сервер хостера Contabo по паролю, получили root-права и развернули бэкдор. Через скомпрометированный сервер они добрались до узлов во FranTech и изменили их конфигурацию. Оператор признал, что причиной взлома стала слабая защита: один пароль использовался для SSH, sudo и шифрования бэкапа, причем он хранился в открытом виде. Однако неизвестно, применялся ли тот же метод для компрометации остальных пострадавших узлов.
Анализ публичных данных показал, что с 1 по 4 октября подозрительную exit policy получили 377 узлов, связанных с 59 операторами. Автор исследования отмечает, что совпадение конфигураций само по себе не является доказательством компрометации. При этом пока неясно, каким образом было взломано большинство серверов, хотя не исключается компрометация инфраструктуры провайдера FranTech/BuyVM. Перехват входа по SSH-ключу таким способом был невозможен, так как криптографическая подпись клиента привязана к конкретной сессии.