一位研究人员于周二报告称，不明黑客劫持了超过300个Tor出口节点，并重新配置它们以优先处理未加密的电子邮件流量，并通过他们控制的服务器重定向SSH连接。劫持活动始于8月底，根据Tor志愿者的说法，攻击者使用了一个被重复使用的有效密码来获得对Tor管理服务器的访问权限。随后，攻击者安装了Ebury，一个为Linux编写的后门，这个后门早在12年前就被发现。之后，攻击者通过SSH从管理服务器连接到一个名为Switzerland2的第二个Tor服务器，使用的RSA密钥出于未知原因，调查人员无法在Switzerland2的授权密钥中找到。拥有Switzerland2的管理控制权后，攻击者还在该服务器上安装了Ebury。最终，攻击者重新配置了Switzerland2所托管的两个出口节点的设置。最终，333个出口中继参与了SSH和电子邮件拦截活动，尽管调查人员尚未确定攻击者是如何控制所有基础服务器的。攻击者随后重新配置了服务器。一组更改将穿越Tor的SSH流量重定向到12台攻击者控制的拦截服务器之一。忽视SSH主机密钥已更改警告的Tor用户将会输入他们的SSH密码。第二组更改导致出口节点阻止端口25、465、587、993和995，这些端口用于接受各种形式的加密电子邮件，同时继续允许接收未加密电子邮件的端口。如果电子邮件服务降级了连接，攻击者利用他们对出口节点的访问来获取未加密的消息。目前尚不清楚是否有任何这种降级尝试成功。劫持事件发生在10月2日至10月5日之间。Tor志愿者们部分概述了管理服务器和Switzerland2的初步妥协以及拦截未加密电子邮件的尝试。周二的报告揭示了许多新细节，包括有多少出口节点被攻陷以及攻击者如何利用这些节点来重定向SSH流量。“如果你恰好获得一个经过这333个感染的出口节点的电路，起初你不会注意到任何异常，”撰写该文章的Tor志愿者Kaba写道。“加密的网络流量会照常转发，但如果你试图通过22号端口进行SSH连接，你会在不知情的情况下被重定向到12台SSH拦截服务器之一。周五早上，我正好遇到了这种情况。”Kaba随后收到了以下警告：