В анонимната мрежа Tor има не по-малко от 110 възела, които са настроени да следят потребителите, твърди изследване на Колежа за изчислителна техника и информатика към Североизточния университет на САЩ.
Всички подобни възли имат флаг „Tor Hidden Services Directorie”, което означава, че се отнасят към сървъри, които приемат трафик и разпределят потребителите към скрити услуги. HSDir възлите играят ключова роля за скриване на реалните IP-адреси на потребителите, като броят им в Tor превишава 3 хиляди.
Над 70% от откритите проследяващи възли са разположени в облачна инфраструктура. Географски, основната част се намира в САЩ, Германия, Франция, Великобритания и Холандия.
В рамките на 72 денонощия, през които изследователите са изучавали възлите, са били регистрирани около 40 хиляди посещения. Повечето от тях просто са търсили път към основната директория на сървъра и са били автоматизирани. Немалък брой посещения са извършени от реални хора.
Експертите установяват, че в хода на посещенията се изпълняват различни заявки към други сървъри в мрежата Tor. Засечени са опити за атаки срещу мрежата, вкл. внедряване на SQL код и междусайтов скриптинг.
За да открият вредоносните възли, изследователите са разработили собствен метод и редица помощни инструменти. Решението на поставената задача било усложнено от факта, че повечето възли се намират в облачна инфраструктура, което затруднява анализът им, тъй като не винаги е възможно да се определи мястото на възела.
Според експертите, организаторите на подобни възли ги поместват умишлено в облака, за да заличат следите си. Освен това има компании, които срещу заплащане предлагат маскиране на възлите.
Анонимността е главна цел на Tor. Дизайнът на мрежата е разработен по такъв начин, че наблюдателят не може да свърже даден сървър с конкретен компютър или потребител. Именно това направи Tor популярна сред престъпниците.