Η αρχιτεκτονική της επίθεσης
Η επίθεση που αποκαλύφθηκε τον Οκτώβριο του 2026 ανέδειξε μια σοβαρή ευπάθεια στην αλυσίδα εμπιστοσύνης του δικτύου Tor. Οι επιτιθέμενοι, έχοντας αποκτήσει πρόσβαση σε Linux servers μέσω του malware Ebury (ένα γνωστό OpenSSH backdoor), προχώρησαν σε μαζική μετατροπή απλών relays σε exit nodes. Η στρατηγική τους ήταν διττή: υποκλοπή μη κρυπτογραφημένης αλληλογραφίας και εκτέλεση MITM επιθέσεων σε SSH συνδέσεις.
Τεχνική ανίχνευση και εξουδετέρωση
Η ανακάλυψη των 333 μολυσμένων κόμβων βασίστηκε σε μια μεθοδολογία ελέγχου που χρησιμοποίησε το εργαλείο exitmap. Ο ερευνητής υλοποίησε ένα σενάριο όπου, μέσω ενός pinned exit node, πραγματοποιούνταν σύνδεση SSH μεταξύ δύο ελεγχόμενων servers. Η απόκλιση στο SSH fingerprint αποτέλεσε το κρίσιμο δείκτη (indicator of compromise) για την ταυτοποίηση των κακόβουλων κόμβων.
Ανάλυση του payload και honeypot
Μέσω της χρήσης του sshesame ως honeypot, αναλύθηκε η συμπεριφορά των επιτιθέμενων. Διαπιστώθηκε ότι χρησιμοποιούσαν τη βιβλιοθήκη paramiko για τον αυτοματισμό των συνδέσεων, ενώ η κλιμάκωση των προνομίων και η εγκατάσταση του Ebury γίνονταν μέσω base64-encoded εντολών που εκτελούνταν από την Perl. Η ταχύτατη αντίδραση του Tor Network Health Team, με τον χαρακτηρισμό των κόμβων ως BadExit, περιόρισε δραστικά την εμβέλεια της επίθεσης.
Συμπεράσματα για την ασφάλεια υποδομών
Το περιστατικό υπογραμμίζει ότι τα relays του Tor πρέπει να αντιμετωπίζονται ως κρίσιμα production συστήματα. Η εξάρτηση από κωδικούς πρόσβασης παραμένει το αδύναμο σημείο, καθιστώντας την υιοθέτηση SSH keys και hardware security modules (HSMs) επιβεβλημένη για κάθε διαχειριστή υποδομών.