How I got over 300 Tor exit nodes removed
2 октября 333 заражённых выходных узла Tor (примерно 10% от всех ~3000) начали скоординированную атаку: перехватывали SSH-соединения и собирали незашифрованный почтовый трафик. Злоумышленники получили доступ к серверам ещё в августе и тихо развернули бэкдор Ebury 1.8.3 — вредонос для OpenSSH, ворующий учётные данные на Linux. При подключении по порту 22 пользователя незаметно перенаправляли на один из 12 серверов перехвата; при игнорировании предупреждения об изменении ключа хоста атакующий крал пароль, следил за командами и заражал сервер через второе соединение.
Вечером того же дня автор сообщил команде сетевого здоровья Tor Project, которая подтвердила новизну атаки и связалась с операторами. К 4 октября узлы пометили как BadExit, и клиенты перестали через них выходить; 5 октября заражённые серверы отключили. Команда отметила, что атакующий превращал невыходные узлы в выходные, редактируя torrc. Приманка-ловушка показала использование библиотеки paramiko и установку Ebury через Perl с base64-командой. Главный вопрос — как получен доступ ко всем серверам: есть лишь теория о взломе хостинг-провайдера. Поскольку с 2009 по 2023 год Ebury заразил 400 000 серверов, вероятно, скомпрометированные узлы Tor ещё существуют. Вывод: отключите вход по паролю в пользу SSH-ключей.