В период со 2 по 5 октября злоумышленники скомпрометировали 333 выходных узла сети Tor. Атака была направлена на перехват SSH-трафика и попытки получения доступа к незашифрованным сообщениям электронной почты.
Инцидент начался в конце августа с доступа к серверу управления Tor через повторно использованный пароль. Злоумышленники установили бэкдор Ebury, а затем захватили сервер Switzerland2, используя неавторизованный ключ RSA.
Настроечные изменения перенаправляли SSH-соединения на 12 подконтрольных атакующим серверов. Пользователи, игнорировавшие предупреждения об изменении ключа хоста, теряли пароли, а их серверы заражались вредоносным ПО Ebury.
На узлах были заблокированы порты 25, 465, 587, 993 и 995, отвечающие за шифрованную почту, при сохранении доступа к незашифрованным портам. Успешность попыток принудительного понижения уровня защиты почты остается невыясненной.
Волонтеры Tor выявили атаку, просканировав около 3000 выходных узлов и создав ханипот для отслеживания действий злоумышленников. Метод получения доступа к большинству серверов инфраструктуры пока не установлен.
