В октябре 2026 года исследователь безопасности под псевдонимом Kaba выявил масштабную атаку на инфраструктуру сети Tor. Злоумышленники захватили более 300 выходных узлов для перехвата SSH-соединений. Атакующие перенаправляли трафик на подконтрольные серверы, где похищали пароли и отслеживали сессии пользователей.
На взломанных Linux-хостах хакеры меняли конфигурацию torrc и открывали порт 22. Также фиксировалось отключение защищенных портов IMAPS и POP3S с переходом на незашифрованные протоколы для перехвата почты. Схема работала через подмену host key: если пользователь подтверждал новый ключ и вводил пароль, данные передавались атакующим.
На скомпрометированных узлах злоумышленники пытались установить бэкдор и инфостилер Ebury. С 1 по 4 октября 2026 года подозрительную активность проявили 377 узлов, связанных с 59 операторами. На пике 4 октября эти узлы обеспечивали около 7,46% всей выходной пропускной способности сети Tor.
С 4 октября 2026 года специалисты Tor Project начали помечать вредоносные узлы флагами BadExit и MiddleOnly. К 5 октября все скомпрометированные узлы были удалены из списка доступных маршрутов. Пользователям, вводившим пароли при SSH-подключении через Tor в этот период, рекомендуется сменить учетные данные и проверить системы на наличие Ebury.
