一起攻击事件的详情已公布，攻击者控制了333个Tor出口节点（Tor总共有约3000个出口节点），并利用这些节点拦截未加密流量和重定向SSH连接。攻击始于10月2日（周五晚间），但直到10月4日才被发现并开始封锁。10月5日，所有被入侵的服务器均被其运营者或攻击者自行关闭。调查显示，攻击者在攻击Tor用户两个月前就已获得这些服务器的访问权限，并在被入侵的系统上安装了Ebury 1.8.3恶意软件。
此次攻击的目标是拦截未加密传输流量中的密码、密钥和机密信息，并捕获 SSH 密码。在分析未加密流量时，攻击者重点关注发往邮件服务器的未加密请求。为了促使出口节点恢复使用未加密操作，攻击者封锁了用于与邮件服务器建立加密通信的网络端口。 服务器对未加密流量进行了实时分析。
为了收集 SSH 密码，SSH 请求被重定向到攻击者的 12 台服务器之一。这些服务器接受 SSH 连接，并代表攻击者显示密码提示。 伺服器连接已建立。由于主机密钥不匹配，客户端的 SSH 发出警告，提示连接到未知主机。 伺服器.
如果用户忽略此警告并输入密码进行连接，则恶意程序将无法正常运行。 服务器 它转发了与合法目标 SSH 服务器的连接，存储了受害者输入的密码，并拦截了有关 SSH 会话的信息。同时，它使用捕获的密码连接到目标服务器，并在其上安装了 Ebury 恶意软件。通过获取控制权， Linux对于原本不是 Tor 出口节点的服务器，攻击者更改了 torrc 文件中的设置，并将它们变成了新的恶意 Tor 出口节点。
为了识别所有恶意出口节点，发现该问题的研究人员使用 exitmap 工具枚举所有出口节点，并通过每个节点建立 SSH 连接，并验证请求是否被重定向。攻击者究竟是如何获得被劫持的 Tor 节点的访问权限的，目前尚不清楚，但一些人对此进行了推测。
关于主机运营商妥协的假设。
来源： opennet.ru
