333 Tor exit nodes hijacked to intercept SSH traffic and retrieve plaintext email
TL;DR · AI 摘要
333个Tor出口节点被劫持，攻击者通过SSH和邮件拦截窃取数据，暴露Tor网络的安全漏洞。
核心要点
- 攻击者利用Ebury后门控制333个Tor出口节点，重定向SSH流量至12台拦截服务器。
- 攻击导致SSH连接默认使用未加密邮件端口，可能泄露明文邮件内容。
- Tor志愿者发现攻击时间跨度为10月2日至5日，涉及RSA密钥管理漏洞。
结构提纲
按章节快速跳转。
思维导图
用一张图看清主题之间的关系。
查看大纲文本（无障碍 / 无 JS 友好）
- Tor出口节点劫持事件
- 攻击方法
- Ebury后门利用
- SSH流量重定向
- 影响范围
- 333个出口节点
- 邮件端口劫持
- 技术细节
- RSA密钥管理漏洞
- 12台拦截服务器
金句 / Highlights
值得收藏与分享的关键句。
攻击者使用12年前发现的Ebury后门控制服务器，暴露旧漏洞的持续威胁。
333个出口节点被配置为阻断加密邮件端口，强制使用明文传输协议。
SSH连接用户若忽略主机密钥变更警告，密码将被发送至攻击者控制的服务器。
333个Tor出口节点遭劫持用于拦截SSH流量并获取明文电子邮件 - Ars Technica
事后分析
333个Tor出口节点遭劫持用于拦截SSH流量并获取明文电子邮件
本月有3天时间，333个出口节点遭到黑客攻击，试图窃取敏感数据。
Dan Goodin
–
2026年10月22日 上午7:30
|
27
图片来源：
Pavlo Gonchar/SOPA Images/LightRocket via Getty Images 摄影插图
按钮
文字设置
面板
正文文字
字号
小号
标准
大号
宽度
*
宽屏
链接颜色
橙色
- 仅限订阅者
了解更多
最小化至导航栏
一名研究人员周二报告称，未知黑客劫持了300多个Tor出口节点，并重新配置这些节点以优先处理未加密的电子邮件流量，同时将SSH连接重定向到他们控制的服务器上。
劫持行动始于8月下旬，据Tor志愿者称，攻击者使用了一个被重复使用的有效密码，获得了Tor管理服务器的访问权限。随后，攻击者安装了Ebury——一种12年前发现的针对Linux系统的后门程序。
仍有未解之谜
接着，攻击者通过SSH从管理服务器连接到名为Switzerland2的第二台Tor服务器，使用了一把RSA密钥。由于未知原因，调查人员在Switzerland2的授权密钥中找不到这把密钥。在获得Switzerland2的管理员权限后，攻击者也在该服务器上安装了Ebury。最后，攻击者重新配置了Switzerland2托管的两个出口节点的设置。
最终，有333个出口中继节点参与了此次SSH和电子邮件拦截行动，尽管调查人员尚未查明攻击者是如何控制所有底层服务器的。攻击者随后重新配置了这些服务器。其中一组更改将通过Tor传输的SSH流量重定向到12台攻击者控制的拦截服务器之一。如果Tor用户忽略SSH主机密钥已更改的警告，他们将输入自己的SSH密码。
另一组更改导致出口节点阻止了25、465、587、993和995端口——这些端口用于接收各种加密电子邮件，同时继续允许接收未加密电子邮件的端口。如果电子邮件服务降级连接，攻击者则利用对出口节点的访问权限获取未加密消息。尚不清楚是否有任何降级尝试成功。劫持行动发生在10月2日至10月5日之间。
Tor志愿者部分揭示了管理服务器和Switzerland2的初始入侵情况，以及试图拦截未加密电子邮件的行动。周二的报告披露了许多新细节，包括被入侵的出口节点数量，以及攻击者如何利用这些节点重定向SSH流量。
“如果你碰巧获得了一条通过这333个受感染出口节点之一的电路，最初你不会察觉到任何异常，”撰写该报告的Tor志愿者Kaba写道。“加密的网页流量会像往常一样转发，但如果你尝试通过22端口建立SSH连接，你将不知不觉地被重定向到12台SSH拦截服务器之一。这正是我在周五早上经历的情况。”随后，Kaba收到了以下警告：
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ 警告：远程主机标识已更改！ @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ 有人可能正在对你进行恶意行为！目前你可能正被窃听（中间人攻击）！也有可能远程主机的密钥刚刚被更改。远程主机发送的 ED25519 密钥指纹为 SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E。请联系你的系统管理员。
志愿者进一步调查发现，当用户忽略警告时，攻击者采取了以下行动：(1) 盗取 SSH 密码，(2) 建立与服务器的连接并监视所有输入命令，(3) 建立第二个连接并使用 Ebury 感染服务器。
为调查此次攻击活动，Kaba 创建了一个脚本，轮询 Tor 网络约 3000 个出口节点，检查它们是否从测试服务器接收到正确的 SSH 指纹。测试服务器随后验证连接是否来自被固定绑定的出口节点，或是攻击者使用的 12 个 SSH 侦听服务器之一。志愿者还设置了蜜罐，用于观察侦听软件尝试登录并安装 Ebury 的行为。
仍有许多未解之谜。Tor 志愿者尚未查明攻击者是如何访问如此多服务器的。一种可能是托管这些服务器的公司遭到入侵，但该理论尚未得到证实。另一个悬而未决的问题是攻击背后的组织者是谁。“Ebury 的使用以及大规模收集未加密数据的行为指向了一个以经济利益为动机的犯罪集团，”Kaba 表示。“但这也只是推测。”
最后令人困惑的发现是：为什么 Switzerland2 在没有证据表明其为授权 SSH 证书的情况下接受了 RSA 密钥？
此次事件的启示在于纵深防御在防止此类大规模数据窃取中的关键作用。这些措施包括配置电子邮件账户仅接受加密流量并拒绝未加密端口。另一个措施是禁用密码认证，改用 SSH 密钥认证。
高级安全编辑
Dan Goodin 是 Ars Technica 的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码相关的报道。在空闲时间，他喜欢园艺、烹饪以及关注独立音乐场景。Dan 常驻旧金山。你可以通过
here
在 Mastodon 上关注他，以及
在 Bluesky 上关注他。可通过 Signal 联系他，联系方式为 DanArs.82。
27 条评论