333 infizierte Tor-Exit-Nodes griffen SSH-Verbindungen ab – ein Operator schaltete sie ab
How I got over 300 Tor exit nodes removed
Am 2. Oktober starteten 333 kompromittierte Tor-Exit-Nodes einen koordinierten Angriff: Sie fingen SSH-Verbindungen über Port 22 ab und leiteten sie auf 12 Interception-Server um, die Passwörter stahlen und Server mit dem Ebury-Backdoor infizierten. Der Autor scannte mit exitmap alle rund 3000 Exit-Relays, entdeckte das Muster und meldete es dem Tor-Network-Health-Team. Bis zum 5. Oktober waren alle infizierten Server abgeschaltet oder als BadExit markiert.
Es sieht so aus, als verschaffe sich der Angreifer Zugang zu Linux-Hosts und bearbeite, wenn diese Maschinen als Non-Exits laufen, die torrc-Datei, um sie zu Exits zu machen und so den SSH-Angriff durchführen zu können.