Захват Tor, фильтрация ТСПУ и AmneziaVPN: 3 новости

Этот выпуск о том, как атакуют инфраструктуру анонимной сети, фильтруют соединения по техническим признакам и обновляют инструменты обхода блокировок.

• 333 узла Tor перехватывали SSH-трафик
• ТСПУ фильтрует соединения без чтения содержимого
• AmneziaVPN выпустила предрелиз с ограниченным выбором сборок

Атака захватила 333 выходных узла Tor

Около 10% выходных ретрансляторов Tor одновременно оказались под контролем злоумышленника. 20 октября швейцарский исследователь под псевдонимом KABA раскрыл атаку, в которой вредонос Ebury 1.8.3 захватил 333 выходных узла и перенаправлял SSH-трафик через 12 подконтрольных систем.

Атака затрагивала не только SSH. Скомпрометированные узлы блокировали порты защищённой почты 465, 587, 993 и 995. Это могло мешать работе SMTP и IMAPS-соединений, а SSH-трафик давало возможность перехватывать и анализировать на выходе из сети Tor.

2 октября все 333 узла одновременно изменили обработку трафика. 4 октября команда Tor начала помечать их флагом BadExit, а к 5 октября остановила их работу. Сколько паролей успели похитить, неизвестно. При этом сама атака не означает, что личности пользователей Tor были раскрыты: выходной узел видит трафик на своей стороне, но не получает автоматически данные о том, кто инициировал соединение.

Случай показал уязвимое место архитектуры Tor: даже короткий контроль над заметной долей выходных узлов позволяет влиять на трафик, который покидает анонимную сеть. Для SSH это особенно критично, если пользователь не проверяет ключи хостов и повторно использует пароли.

ТСПУ фильтрует соединения по IP, порту и признакам протокола

Пользователь Хабра owenewans опубликовал разбор работы ТСПУ, а 19 октября 2026 года его пересказ вышел на Anti-Malware.ru. Из материала следует, что системе фильтрации часто не нужно читать содержимое соединения: для решения достаточно IP-адреса, номера порта или признаков используемого протокола.

При HTTPS без ECH имя сайта видно в начале TLS-соединения. Этого может хватить, чтобы сопоставить запрос с правилом блокировки. ТСПУ способна не обязательно разрывать соединение напрямую: иногда она отбрасывает часть пакетов, после чего передача данных становится настолько нестабильной, что сервис практически невозможно использовать.

Отсюда следует неприятное ограничение для обхода блокировок. Если заблокирован сам IP-адрес, изменение признаков запроса или маскировка протокола не поможет. Универсального способа обхода нет, потому что фильтрация может срабатывать на разных уровнях: от адреса назначения до характеристик рукопожатия.

AmneziaVPN 5.0.4.2 улучшила стабильность, но сократила выбор сборок

20 октября вышел предрелиз AmneziaVPN 5.0.4.2. В списке изменений указано только улучшение стабильности, поэтому ждать от этой версии новых протоколов или заметного расширения функций не стоит.

При этом часть сборок временно недоступна. Для Android сохранены варианты для версий 11 и выше, а также для Android 9-10. Сборка для Android 7-8 пока отсутствует. На macOS поддерживаются версии 13 и новее, тогда как сборок для macOS 10.15-12 нет.

Перед установкой предрелиза нужно проверить не только версию приложения, но и совместимость с операционной системой. Для старых устройств обновление может оказаться недоступным даже при наличии самого клиента в релизном канале.

P.S. Больше свободы в сети - заходите в бот

По разработке ботов - пишите в личные сообщения