Исследователь под псевдонимом KABA 20 октября опубликовал разбор атаки, в которой 333 выходных узла Tor перенаправляли SSH-соединения на 12 посторонних серверов. Перехват начался 2 октября; к 5 октября выявленные узлы были отключены.

SSH используют для защищённого удалённого управления компьютерами. При подмене сервера программа исследователя показала предупреждение: его ключ подлинности изменился. Если продолжить вход с паролем вопреки предупреждению, посредник может получить пароль, подключиться к настоящему серверу и наблюдать команды. На специально подготовленной приманке KABA также зафиксировал попытку установить Ebury — вредоносную программу для Linux, крадущую учётные данные.

Автор проверил около 3000 выходных ретрансляторов: сравнивал ключ сервера и адрес, с которого приходило соединение. Примерно дюжина узлов предъявляла поддельный ключ; ещё более 300 перенаправляли трафик через ту же инфраструктуру, не подменяя ключ при проверке. Поэтому 333 — число выявленных узлов с перенаправлением, а не число доказанных краж паролей. Доля узлов также не показывает долю перехваченного трафика.

Команда Tor Project подтвердила, что серверы ряда операторов были взломаны, а настройки ретрансляторов изменены. Часть промежуточных узлов превращали в выходные, чтобы они могли вмешиваться в соединения с внешними серверами. Команда помечала затронутые узлы, а серверы, управляющие каталогом сети, исключали их. Операторам рекомендовали заново установить систему и заменить ключи: одного исправления настроек недостаточно после захвата машины.

Первоначальный способ проникновения и число пострадавших пользователей остаются неизвестными. Анонимный маршрут не отменяет проверку подлинности сервера: в обнаружившем атаку SSH-клиенте она сработала и вызвала предупреждение.