2026年10月2日（金）午前9時35分、333台の感染した出口ノードが、SSH接続を傍受し、暗号化されていないデータを可能な限り収集するための協調キャンペーンを開始しました。Torは約3000台の出口リレーを運用していますが、そのうち約10%が攻撃者の支配下にありました。攻撃者は8月にサーバーへのアクセス権を取得し、Linux向けのOpenSSHバックドアおよび認証情報窃取ツールであるEbury 1.8.3ペイロードを密かに配置していました。
今回の攻撃には主に2つの目的がありました。暗号化されていないメールトラフィックを可能な限り収集することと、中間者攻撃によってSSH接続を傍受することです。一部のポートをブロックすることで、侵害された出口ノードは暗号化されていないメールだけを処理していました。ポート22のトラフィックは、12台のSSH傍受サーバーのいずれかに転送されていました。ホスト鍵の警告を無視したユーザーは、パスワードを盗まれ、コマンドを監視され、サーバーにEburyを感染させられました。
著者は金曜日の夜にこの発見をTorプロジェクトのネットワークヘルスチームに報告しました。チームは、この攻撃が新種であることを確認し、影響を受けたリレーの運用者に連絡しました。日曜日の10月4日までに、運用者は出口ノードの停止を始め、クライアントがトラフィックの出口として使わないよう、リレーはBad Exitとしてフラグが立てられました。攻撃者は月曜日に一部のリレーを再起動しましたが、すでにフラグが立てられていたため、中継リレーとしてしか機能できませんでした。感染したサーバーは最終的にすべて停止され、10月4日にはネットワークの指標に明確な低下が見られました。
チームによると、攻撃者はLinuxホストへのアクセスを得て、非出口リレーのtorrcファイルを編集し、SSH攻撃用の出口に変えたとのことです。著者は、約3000台の出口リレーそれぞれをexitmapでテストし、固定接続においてSSHフィンガープリントが一致するかを確認することで、感染ノードを発見しました。
出典: Hacker News · 要約：HeadlinesBriefing