Rimossi i relay Tor, gli host compromessi possono restare infetti
L'analisi di kaba ha individuato 333 relay Tor che dirottavano connessioni SSH: rimuoverli dal consensus non ha garantito la bonifica degli host. Al picco del 4 ottobre, i relay coinvolti rappresentavano il 7,46% della capacità di uscita della rete.
I relay alterati avevano cambiato le porte che potevano trasportare e reindirizzavano SSH verso 12 server di intercettazione. Chi accettava la chiave host inattesa di uno di quei server poteva consegnare la propria password agli attaccanti.
L'impianto segnalato poteva restare sugli host anche dopo la rimozione dei relay. Per gli utenti SSH, una chiave host cambiata non è un avviso di routine: le password inserite dopo averla accettata possono restare esposte anche quando i relay non compaiono più nel consensus.