333 Tor-kilépési csomópontot térítettek el SSH- és e-mail-forgalom lehallgatására
Ismeretlen támadók három napon át, október 2. és 5. között manipulálták a Tor hálózatának 333 kilépési csomópontját, hogy érzékeny adatokat szerezzenek. A kampány egy Tor-kezelőszerver feltört, újrahasznált jelszavával kezdődött, majd a támadók telepítették az Ebury nevű, Linuxhoz készült hátsó kaput. Innen egy Switzerland2 nevű másik Tor-szerverhez kapcsolódtak, amelyen szintén elhelyezték a kártevőt, később pedig a hozzá tartozó kilépési csomópontokat is átállították.
Az egyik módosítás a Toron áthaladó SSH-kapcsolatokat a támadók 12 saját közbeiktatott szerverének valamelyikére irányította. Aki figyelmen kívül hagyta az SSH-kulcs megváltozására figyelmeztető üzenetet, annak ellophatták a jelszavát, megfigyelhették a beírt parancsokat, majd újabb kapcsolaton keresztül megfertőzhették a célgépet is. A titkosított webes forgalom közben látszólag rendben továbbhaladt, ezért a támadás kezdetben nehezen volt észrevehető.
A másik beavatkozás letiltotta a titkosított levelezéshez használt 25-ös, 465-ös, 587-es, 993-as és 995-ös portokat, miközben a titkosítatlan e-mail-forgalomhoz szükséges portok elérhetők maradtak. A támadók így arra számíthattak, hogy egyes levelezőrendszerek visszaváltanak titkosítás nélküli kapcsolatra, és az üzenetek olvashatóvá válnak. Egyelőre nem tudni, sikerült-e ilyen adatokat megszerezniük.
A Tor önkéntesei mintegy 3000 kilépési csomópontot ellenőriztek egy tesztszkripttel, és mézesbödönnel is vizsgálták a behatolási kísérleteket. Nem ismert, hogyan jutottak el a támadók valamennyi érintett szerverhez, és az elkövetők kiléte sem tisztázott. Az Ebury használata és a titkosítatlan adatok széles körű gyűjtése alapján felmerült a pénzügyi indítékú bűnözői csoport lehetősége, de ez csak feltételezés.