Na początku października doszło do masowego przejęcia węzłów wyjściowych (exit relays) w sieci Tor. Atakujący zdołali przejąć kontrolę nad ponad 300 relayami, zmieniając ich konfigurację w plikach torrc, aby umożliwić ruch na porcie 22, który wcześniej był blokowany.
Mechanizm ataku polegał na przekierowywaniu połączeń SSH na 12 serwerów przechwytujących. Jeśli użytkownik zaakceptował nieznany klucz hosta i zalogował się za pomocą hasła, napastnicy przejmowali te dane, jednocześnie utrzymując sesję z prawdziwym serwerem docelowym. Atak nie dotyczył użytkowników korzystających z uwierzytelniania kluczami SSH, gdyż ich podpisy są unikalne dla każdej sesji.
Badania wykazały, że napastnicy prawdopodobnie uzyskują dostęp do hostów z systemem Linux i modyfikują ich pliki konfiguracyjne. W niektórych przypadkach na zainfekowanych maszynach wykryto obecność backdoora Ebury, który służy do kradzieży poświadczeń w OpenSSH. Incydent dotyczył głównie osób łączących się przez Tor w dniach 1–5 października.
Projekt Tor zareagował na incydent, oznaczając zainfekowane węzły jako wadliwe, co pozwoliło na ich szybkie wyeliminowanie z sieci. Większość dotkniętych relayów została usunięta z konsensusu Tor do 5 października.
