Los atacantes se hicieron con el control de más de 300 repetidores de salida de Tor para interceptar conexiones SSH
Un grupo de atacantes asumió el control de más de trescientos nodos de salida de Tor con el propósito de desviar conexiones SSH hacia servidores controlados por ellos mismos. Mediante esta maniobra, los responsables lograron modificar los archivos de configuración para habilitar el puerto veintidós en nodos que originalmente lo bloqueaban o que no cumplían funciones de salida. Como resultado, las conexiones afectadas no alcanzaban su destino legítimo, sino que eran interceptadas para presentar una clave de host falsa con el fin de capturar las contraseñas introducidas por los usuarios.
La campaña se desarrolló durante los primeros días de octubre, período en el cual el Proyecto Tor y diversos investigadores detectaron la anomalía mediante análisis de directorios y herramientas de escaneo. Las autoridades del directorio de Tor comenzaron a marcar los nodos comprometidos para excluirlos del listado oficial, logrando que para el cinco de octubre ninguno de estos elementos permaneciera activo en el consenso. El acceso de los atacantes en ciertos casos se vinculó con la presencia de un programa malicioso llamado Ebury en los servidores gestionados por los operadores, el cual funciona como una puerta trasera para robar credenciales.
Los usuarios expuestos a este incidente fueron aquellos que intentaron establecer conexiones SSH a través de Tor dentro de las fechas afectadas, aceptaron la clave de host alterada e ingresaron su contraseña. Dado que las sesiones autenticadas mediante claves criptográficas no se vieron expuestas de la misma forma, las recomendaciones de seguridad se centran en revisar los sistemas en busca de indicios del código malicioso, cambiar las credenciales utilizadas y verificar las configuraciones de los nodos. El artículo original no aporta más detalle sobre la identidad de los atacantes ni sobre el número total exacto de víctimas individuales.