۳۳۳ خروجی تور هک شد تا ترافیک SSH و ایمیل رمزنشده شنود شود
مهاجمان با بک‌دور Ebury حدود ۱۰٪ گره‌های خروجی تور را آلوده کردند تا اتصال‌های SSH را به سرورهای شنود بفرستند و ایمیل رمزنشده را بگیرند.
به گزارش آرس تکنیکا و یادداشت پژوهشگری که ۲۰ اکتبر ۲۰۲۶ منتشر شد، مهاجمان ۳۳۳ گره خروجی (exit relay) شبکه تور را در ابتدای اکتبر به‌طور هماهنگ فعال کردند. هدف آن‌ها شنود اتصال‌های SSH و ایمیل‌های رمزنشده بود. این تعداد حدود یک‌دهم از نزدیک به ۳٬۰۰۰ خروجی تور است. تیم سلامت شبکه تور چند روز بعد گره‌های آلوده را با پرچم BadExit از مدار خارج کرد.
حمله دقیقاً چه کرد؟
بر اساس گزارش‌ها، حمله از ۲ اکتبر ۲۰۲۶ شروع شد و حدود سه روز ادامه داشت. گره‌های آلوده ترافیک وب رمزگذاری‌شده را دست‌نخورده عبور می‌دادند، اما دو رفتار غیرعادی داشتند.
نخست، اتصال‌های SSH که به پورت استاندارد این سرویس می‌رفتند به یکی از ۱۲ سرور شنود هدایت می‌شدند. این سرورها هویت جعلی ارائه می‌دادند، پس کاربر باید هشدار «تغییر host key» را می‌دید. اگر کاربر هشدار را نادیده می‌گرفت و با رمز عبور وارد می‌شد، مهاجم نام کاربری و رمز را می‌گرفت، دستورهای تایپ‌شده را می‌دید و می‌توانست روی سرور مقصد هم بک‌دور نصب کند.
دوم، پورت‌های امن ایمیل (SMTP/IMAP/POP3 رمزگذاری‌شده) روی این گره‌ها مسدود شده بود و پورت‌های رمزنشده باز می‌ماند. اگر نرم‌افزار ایمیل به‌جای شکست خوردن به اتصال بدون رمزگذاری برمی‌گشت، محتوای پیام‌ها در دسترس مهاجم قرار می‌گرفت.
نکات کلیدی
- ۳۳۳ گره خروجی، حدود ۱۰٪ کل خروجی‌های تور
- ۱۲ سرور شنود برای اتصال‌های SSH
- رمزنگاری SSH و تور شکسته نشد؛ حمله به نادیده‌گرفتن هشدار هویت کاربر وابسته بود
ریشه نفوذ و کشف ماجرا
گره‌ها با Ebury نسخه ۱.۸.۳ آلوده شده بودند. این بک‌دور قدیمی OpenSSH بیش از یک دهه است که شناخته می‌شود و هم اعتبارنامه‌ها را می‌دزدد و هم دسترسی پنهان می‌دهد. به گفته پژوهشگر، نفوذ اولیه حدود دو ماه قبل، در ماه اوت، رخ داده بود. راه ورود دقیق در منابع یکسان گزارش نشده است. یک گزارش از استفاده از رمز عبور تکراری برای ورود به یک سرور مدیریتی می‌گوید، اما یادداشت پژوهشگر ورود را نامشخص می‌داند و دو فرضیه مطرح می‌کند: نفوذ به یک شرکت میزبانی یا بهره‌برداری از سیستم‌های وصله‌نشده.
پژوهشگر ماجرا را پس از تجربه یک ریدایرکت مشکوک SSH کشف کرد. او با اسکن همه خروجی‌ها و مقایسه اثرانگشت‌های SSH، گره‌های دارای رفتار غیرعادی را شناسایی کرد و به تیم سلامت شبکه تور گزارش داد. در ۴ اکتبر اطلاع‌رسانی به اپراتورها انجام شد و گره‌ها بسته یا با پرچم BadExit علامت‌گذاری شدند. به گزارش‌ها، مهاجمان در ۵ اکتبر برخی ریلی‌ها را دوباره روشن کردند، اما در نهایت همه گره‌های آلوده از مدار خارج شدند.
چرا برای برنامه‌نویس‌ها مهم است؟
این رویداد نشان می‌دهد خروجی‌های تور، که ترافیک را بدون پوشش لایه‌های تور به مقصد می‌رسانند، هدف ارزشمندی برای مهاجمان هستند. هر کسی ترافیک رمزنشده یا ضعیف‌احراز‌هویت‌شده را از چنین مسیری عبور دهد در معرض خطر است.
نکته عملی روشن است: هشدار تغییر host key را هرگز نادیده نگیرید و اثرانگشت سرورتان را از مسیر مطمئن دیگری بررسی کنید. به‌جای رمز عبور از کلید SSH (و در صورت امکان کلید سخت‌افزاری) استفاده کنید و رمز عبور را در SSH غیرفعال کنید. کلاینت ایمیل را طوری تنظیم کنید که هرگز به اتصال رمزنشده برنگردد. برای مدیران سرور در ایران یا هر جای دیگر هم همین قاعده‌ها صادق است: اگر هشدار هویت دیده‌اید و با رمز وارد شده‌اید، آن رمز را فوراً عوض کنید و سرور را بررسی کنید.
اپراتورهای ریلی هم باید ماشین‌هایشان را مانند سرور تولیدی هدف حمله ببینند: وصله، رمز یکتا، احراز هویت چندمرحله‌ای و پایش تغییرهای رفتاری.
# در ~/.ssh/config یا sshd_config سمت سرور
PasswordAuthentication no
PubkeyAuthentication yes
# بررسی اثرانگشت میزبان قبل از اتصال
ssh-keyscan -t ed25519 example.com | ssh-keygen -lf -جمع‌بندی
این حمله ضعف خود پروتکل‌ها نبود، بلکه ترکیب آلودگی زیرساخت و بی‌توجهی کاربران به هشدارها بود. جزئیات نفوذ اولیه هنوز در گزارش‌ها یکسان نیست، اما درس عملی روشن است: هشدار host key را جدی بگیرید، رمز عبور را کنار بگذارید و ایمیل را فقط رمزگذاری‌شده استفاده کنید.
منابع
- Ars Technica: 333 Tor exit nodes hijacked to intercept SSH traffic and retrieve plaintext emailarstechnica.com
- How I got over 300 Tor exit nodes removed (KABA)kaba.cx
- Cyberpress: Hackers Compromise 333 Tor Exit Nodescyberpress.org
این خبر بر اساس منابع بالا به فارسی بازنویسی و خلاصه شده است؛ برای جزئیات کامل به منبع اصلی مراجعه کنید.