2026 年 10 月 2 日星期五上午 9:35，一场针对 Tor 网络的大规模协调攻击正式展开。约 333 个受感染的退出节点开始拦截 SSH 连接并收集未加密数据。作为参照，整个 Tor 网络当时拥有大约 3000 个出口继电器。
据披露，攻击者早在两个月前（8 月）便获取了相关服务器的访问权限，并部署了 Ebury 1.8.3 有效负载。这是一种针对 OpenSSH 的后门程序及 Linux 凭证窃取工具。
攻击目标与手段
此次攻击主要旨在实现两个目标：
- 尽可能多地收集未加密的邮件流量；
- 通过中间人攻击（MITM）拦截 SSH 连接。
攻击者通过封锁特定端口，迫使受控的退出节点仅处理未加密的邮件流量。而在 SSH 层面，当用户尝试通过 22 号端口建立连接时，若电路经过这 333 个受感染节点中的任何一个，流量会被重定向至 12 台专门的 SSH 拦截服务器之一。
一旦用户忽略“远程主机标识已更改”的安全警告并继续登录，攻击者将执行以下操作：
- 窃取用户密码；
- 建立与目标服务器的真实连接，实时观察用户输入的每一个命令；
- 利用第二个连接感染目标服务器，植入 Ebury 后门。
响应与清除过程
事件发生后，Tor 项目的网络健康团队迅速介入。该团队表示：“我们从未见过这样的攻击。”
处置流程如下：
- 10 月 2 日：拦截行动开始。
- Tor 网络健康团队通知中继运营商，后者随即关闭受影响的退出节点。
- 客户端停止使用这些节点进行流量退出。
- 尽管部分被标记的中继被攻击者重启，但最终所有受感染服务器均被关闭，其中包括由运营商主动关停的部分以及攻击者自行移除的部分。
根据医疗团队（注：原文此处语境可能指安全响应团队或误译，保留原意逻辑为安全团队描述的模式）的描述，攻击模式显示：攻击者入侵基于 Linux的主机后，若这些机器原本运行非退出服务，攻击者会编辑 torrc 配置文件将其转换为退出节点，以实施 SSH 攻击。
这一行动对网络产生了显著影响。在 metrics.torproject.org 的数据中，10 月 4 日可见退出节点数量出现明显下降，且此后未恢复至原有水平。
技术溯源：如何识别受感染节点
研究人员利用 exitmap 工具构建脚本，对全网约 3000 个出口继电器进行了逐一测试。测试逻辑如下：
- 固定一个退出节点，从服务器 A 向服务器 B 发起 SSH 连接；
- 服务器 A 验证是否接收到来自服务器 B 的正确 SSH 指纹；
- 服务器 B 检查连接来源是固定的退出节点，还是那 12 台 SSH 拦截服务器之一。
结果显示，约有十几个节点提供了假指纹，而超过 300 个节点虽未直接拦截内容，但同样通过相同的拦截服务器重定向流量。这种重定向行为足以确认节点已被感染。
进一步分析中，研究人员使用 sshesame 作为蜜罐诱骗 MITM 登录。日志显示，攻击者使用了 Python 的 SSH 库 paramiko，并尝试通过 Perl 安装 Ebury。具体指令包括先检查权限，随后执行 base64 编码的命令：
> echo "U=$(id -u) S=$(command -v sudo >/dev/null 2>&1 && (sudo -n true 2>/dev/null && echo nopass || echo maybe) || echo none)"
> sudo bash -c 'echo <base64> | base64 -d | perl'
遗留问题与安全建议
目前尚不清楚攻击者是如何大规模渗透这些服务器的。一种理论认为托管公司本身遭到了黑客入侵，但这仍属推测，具体细节有待披露。
关于攻击者的身份，鉴于其使用 Ebury 后门并大量收集未加密数据的行为特征，外界普遍猜测其背后存在具有财务动机的犯罪集团。
Marc-Etienne M. Léveillé 在 lists.torproject.org 上指出：“鉴于 2009 年至 2023 年间 Ebury 感染了多达 40 万台服务器，外界极有可能还存在其他已被攻破的 Tor 中继节点。”
此外，有观点怀疑攻击者特意选择周五发动袭击，意在利用周末期间降低响应速度。然而，Tor 团队的快速行动成功遏制了事态扩大。
此次事件再次强调了基础安全措施的重要性。建议用户禁用密码认证，改用 SSH 密钥，并考虑使用硬件密钥增强安全性。正如社区成员 George 所言：“归根结底，中继和桥梁需要被视为高度敏感的生产环境机器。”
