Tor 出口變陷阱 研究員揭 333 個節點被入侵專偷 SSH 密碼

333 個 Tor 出口節點被改裝成陷阱

據研究員 kabakabakaba 10 月 20 日發表的報告，10 月 2 日起有 333 個 Tor 出口節點同時把經過的 SSH 連線轉到攻擊者手上，約佔 Tor 網絡約 3,000 個出口節點的一成。Tor 是把流量經多個中轉站轉送、藉此隱藏用戶來源的匿名網絡，出口節點則是流量離開 Tor、連上目標網站或伺服器前的最後一站。報告指攻擊者早在 8 月已控制這批伺服器，並植入 Ebury 1.8.3 版。

攻擊對象是 SSH 登入和未加密電郵

報告指，被入侵的節點照常轉送加密網頁流量，卻把連往 22 號埠的 SSH 連線轉到 12 部攔截伺服器。SSH 是管理員遙距登入伺服器的工具，用戶連線時會看到「遠端主機身分已改變」的警告；若無視警告照樣登入，攻擊者便取得密碼、看到每一條輸入的指令，再另開連線把 Ebury 裝到目標伺服器。節點同時封鎖部分埠，令經過的流量只剩未加密電郵，方便攻擊者大量收集。作者用 Tor 網絡健康團隊維護的 exitmap 工具逐一測試全部出口節點，發現約十多個送出假的主機指紋，三百多個把連線轉到同一批攔截伺服器。

Ebury 是存在多年的 SSH 後門

Ebury 是針對 Linux 伺服器的 OpenSSH 後門，專門偷取登入憑證。據 ESET 2024 年 5 月發表的研究，Ebury 自 2009 年起已入侵近 40 萬部 Linux、FreeBSD 及 OpenBSD 伺服器，2023 年底仍有逾 10 萬部受感染。撰寫該研究的 ESET 研究員 Marc-Etienne M.Léveillé 10 月 8 日在 Tor 論壇指，1.8.3 版最遲 6 月已出現，並建議受害者先為磁碟製作快照，再由零重建伺服器，而非原地清理。

Tor 兩日內把可疑節點標記為壞出口

報告列出的處理經過如下，日期按作者的時間線：

作者在 Tor 論壇補充，27 部不屬 Quetzalcoatl 節點家族的受感染伺服器之中，26 部託管於 FranTech／BuyVM，但這不能證明託管商本身被入侵。攻擊者如何取得權限、身分為何，至今未明。Tor 出口節點數目在 10 月 4 日下跌，至 10 月 19 日仍未回升。

作者建議停用密碼登入

作者建議伺服器管理員停用 SSH 密碼登入，改用金鑰，又指自己會購買硬件金鑰。今次只有無視主機警告、照樣輸入密碼的用戶才會中招。作者亦提醒，Tor 節點和橋接應當作「高度受針對的生產機器」看待。

來源

• How I got over 300 Tor exit nodes removed（研究員原文）
• Ebury 1.8.3 on two Quetzalcoatl relay servers: timeline, lessons, open questions（Tor Project 論壇）
• Ebury is alive but unseen: 400k Linux servers compromised for cryptotheft and financial gain（ESET）