Исследователь рассказал о захвате более 300 Tor exit node: атакующие подменили настройки так, чтобы SSH-трафик уходил на 12 своих серверов, а заодно резали порты 25, 465, 587, 993 и 995, оставляя путь для незашифрованной почты. Всё началось с украденного переиспользованного пароля на management server, потом на серверах поставили Ebury, и кампания шла с 2 по 5 октября.
2 октября 333 заражённых exit-ноды Tor, примерно 10% всех экзитов, начали перехватывать SSH-соединения и перенаправлять их на 12 серверов-перехватчиков: они воровали пароли, подглядывали команды и заражали серверы бэкдором Ebury 1.8.3. Автор написал скрипт на основе exitmap, который прогонял SSH-соединения между своими серверами через каждый из ~3000 экзитов и сверял отпечатки. Tor Network Health пометил экзиты как BadExit и отключил их за несколько дней.
Tor Project объявил, что скоро прекратит поддержку C Tor 0.4.8 и старее. Причина не в капризе, а в том, что в 0.4.9 поля в directory data стали obsolete, и дальше тянуть совместимость уже больно и для кода, и для спецификации. Так что если у кого-то в проде еще живет древний Tor, самое время найти ему мягкое место для пенсии.
Ars Technica пересказывает находку Microsoft: новый лёгкий backdoor распространяется через USB, а управляющий канал завязан на Tor. Отдельно приятно, что это не просто воровство кошельков, а самораспространяющаяся зараза с вполне олдскульной любовью к съёмным носителям.