300以上のTor出口ノードを無効化させた方法

300以上のTor出口ノードを無効化させた方法
2026年10月20日
10月2日金曜日の午前9時35分、333の感染した出口ノードが、SSH接続を傍受し、可能な限り多くの暗号化されていないデータを収集するための協調キャンペーンを開始しました。規模感を掴むために言うと、Tor全体には約3000の出口リレーがあり、そのうち約10%が彼らの管理下にありました。
攻撃者は2ヶ月前の8月にサーバーへのアクセス権を獲得し、静かにEbury 1.8.3ペイロード（Linux向けのOpenSSHバックドアおよび認証情報窃盗ツール）を展開していました。
攻撃
この攻撃には主に2つの目標があったようです。
可能な限り多くの暗号化されていないメールトラフィックを収集する
SSH接続を傍受する（MITM）
特定のポートをブロックすることで、出口ノードには暗号化されていないメールトラフィックのみを処理させていました。被害者の一人（ベテランのTorオペレーター）による興味深いレポートには、その詳細が記されています: lists.torproject.org/mailman3
この記事では、2番目の攻撃であるSSH MITMに焦点を当てます。もしあなたが感染した333の出口ノードのいずれかを経由するサーキットを取得した場合、最初は何も気づかないでしょう。暗号化されたウェブトラフィックは通常通り転送されますが、ポート22経由でSSH接続を試みると、あなたは知らず知らずのうちに12のSSH傍受サーバーのいずれかにリダイレクトされます。
まさにそれが金曜日の朝に私に起こったことです。私のSSH接続はリダイレクトされ、この警告が表示されました。
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ED25519 key sent by the remote host is SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E.
Please contact your system administrator.
しかし、警告を無視してログインを進めると、攻撃者は3つのことを行います。
パスワードを盗む
サーバーへの接続を開き、入力した各コマンドを監視する（MITM）
サーバーへの2番目の接続を開き、Eburyに感染させる
それらを無効化させる
金曜日の夕方、私は発見した内容をTor Projectのネットワークヘルスチームに連絡しました。彼らはこれが新しいものであることを確認し、影響を受けたリレーオペレーターに連絡を取り始めました。
「私たちはこのような攻撃を見たことがありませんでした。」 - Tor Network Health Team
10月2日金曜日: 傍受が開始される。
10月4日日曜日: Torネットワークヘルスチームがオペレーターにアナウンスを行い、彼らは出口ノードのシャットダウンを開始しました。
10月4日日曜日: リレーはBadExitとマークされ、クライアントはそれらを出口トラフィックに使用しなくなりました。
10月5日月曜日: 攻撃者は多くのリレーを再起動しましたが、既にフラグが付けられていたため、ミドルリレーとしてしか機能できませんでした。
10月5日月曜日: 全ての感染したサーバーは、オペレーターと攻撃者によってシャットダウンされました。
彼らのアナウンスで、ヘルスチームはパターンを説明しました。「攻撃者はLinuxベースのホストにアクセスし、これらのマシンが非出口として実行されている場合にtorrcファイルを編集して、SSH攻撃を実行できるように出口にしているようです。」 - Tor Network Health in the announcement
333の出口ノードがシャットダウンされた影響を見ることができます。metrics.torproject.orgでは、10月4日に明確な低下が見られ、それ以来回復していません。
リレーの実行を検討してください: community.torproject.org/relay/setup/
技術的な部分: どうやってそれらを見つけたか
この部分では、感染した出口ノードをすべてどのように見つけたかについて詳しく説明します。
exitmapを使用して、単純なスクリプトを作成しました。そのスクリプトは以下のことを行いました。
出口ノードをピン留めし、私のサーバーAから私のサーバーBへSSH接続を開きました。
サーバーAは、サーバーBから正しいSSHフィンガープリントを受け取ったかどうかを確認しました。
サーバーBは、接続がピン留めされた出口ノードから来たのか、それとも12のSSH傍受サーバーのいずれかから来たのかを確認しました。
私はこのスクリプトを約3000の出口リレーすべてに対して実行しました。
約12が偽のフィンガープリントを提供し、300以上は何も傍受しませんでしたが、それらは同じ傍受サーバーを経由してリダイレクトされました。リダイレクトだけでも、出口が感染していることを確認するには十分でした。
さらに分析するために、sshesameをハニーポットとして使用しました。MITMをハニーポットにログインするように騙すことで、彼らがparamiko（Python SSHライブラリ）を使用していること、そしてPerlを使用してEburyをインストールしようとした方法が明らかになりました。

echo "U=$(id -u) S=$(command -v sudo >/dev/null 2>&1 && (sudo -n true 2>/dev/null && echo nopass || echo maybe) || echo none)" > sudo bash -c 'echo <base64> | base64 -d | perl'
最初に権限を確認し、次にbase64エンコードされたコマンドを実行します。
未解決の質問
最大の疑問は、そもそも彼らがどのようにしてそれらのサーバーすべてに侵入したのかということです。一つの理論は、ホスティング会社自体がハッキングされたというものです（ここで議論されています: lists.torproject.org）。しかし、それは単なる流説です。実際には誰も知りません。
もう一つは、誰が背後にいるのかということです。Eburyの使用と、暗号化されていないデータの広範な収集は、金銭目的の犯罪グループを示唆しています。これもまた憶測に過ぎません。
「2009年から2023年の間にEburyを持っていたサーバーの数（400,000！）を考えると、おそらく他の侵害されたTorリレーも存在するでしょう。」 - Marc-Etienne M. Léveillé (lists.torproject.org)
また、彼らは週末を台無しにしたくないだろうと期待して、金曜日に意図的に攻撃を開始したのではないかと疑っています。Torチームがこれほど迅速に行動したことに、さらに敬意を表します！
教訓
教訓はいつもの通りです。追加のセキュリティは、それだけの価値がある投資です。SSHキーを優先し、パスワード認証を無効にしてください。私は今日、ハードウェアキーを購入するつもりです。:)
「結局のところ、リレー/ブリッジは高度に標的とされた本番マシンとして扱われる必要があります。」 - George (lists.torproject.org)