333个Tor出口节点被劫持 专偷密码

一名代号 Kaba 的 Tor 志愿者在 10 月 20 日的报告中披露，本月 2 日至 5 日，333 个 Tor 出口中继被入侵并被重新配置，用于劫持 SSH 连接、截取未加密邮件。全网出口节点约 3000 个，也就是说每十个出口里就有一个在为攻击者干活。

入侵的时间线要往前推两个月。据 Tor 运营者邮件列表的说法，攻击者在 8 月用一组被重复使用的有效密码登上一台 Tor 管理服务器，装上 Linux 后门 Ebury——这个恶意软件家族十二年前就被发现过。随后攻击者经 SSH 跳到第二台服务器 Switzerland2，在那里同样植入 Ebury，并通过它改动了两台出口节点的配置。

第一种手法针对 SSH。经过被感染出口的 22 端口连接，会被悄悄改道到 12 台攻击者控制的拦截服务器。用户若忽略「远程主机密钥已更改」的告警继续登录，密码就落到对方手里，之后的每条命令都被实时旁观，第二条并行连接还会给对面服务器装上 Ebury。Kaba 自己就是这样中招的。

第二种手法针对邮件。被改配的出口封掉了 25、465、587、993、995 等加密邮件端口，只保留接收明文的端口。一旦邮件服务把连接降级为明文，攻击者就能直接读取内容。是否有降级真的成功，目前尚无定论。

发现过程颇有章法。Kaba 用 exitmap 逐个固定测试全网出口：一台服务器检查收到的 SSH 指纹是否正确，另一台检查连接究竟来自被固定的出口还是拦截服务器，由此点出 333 个涉事节点与 12 台拦截机。他还架了蜜罐，观察到攻击者用 Python 的 Paramiko 库尝试登录、并试图安装 Ebury。

处置相当快。Kaba 当天上报 Tor 网络健康团队，团队称「此前没见过这样的攻击」；10 月 4 日通知运营者并给涉事中继打上 BadExit 标记，使其不再被选作出口；10 月 5 日受感染服务器全部下线。团队还提到，攻击者会修改 torrc 配置，把本来不是出口的中继变成出口。

仍有几处没答案：攻击者如何拿下这么多服务器（一种猜测是托管商被入侵，但无定论）、幕后是谁（Ebury 与大规模明文收集指向以盈利为目的的犯罪团伙，报告自己也说只是推测），以及 Switzerland2 为何会接受一把不在授权列表里的 RSA 密钥。给运营者的建议很直接：关掉 SSH 密码登录改用密钥，把中继机当成高价值生产系统来管。

编译自 Ars Technica，原标题：“333 Tor exit nodes hijacked to intercept SSH traffic and retrieve plaintext email”