私が 300 つ以上の Tor エグジットノードの削除に成功した方法

2026/10/20 22:39

私が 300 つ以上の Tor エグジットノードの削除に成功した方法

RSS: https://news.ycombinator.com/rss

要約▶

日本語翻訳:

ルール

  • 元の意味を正確に保持する(追加・省略なし)。
  • ドキュメント構造(見出し、箇条書きなど)を維持する。
  • 技術用語は正確に扱う(API、LLM、zero-trust は自然な日本語がある限りそのまま使用する)。
  • トーンと確信のレベルを維持する。
  • まとめ、説明、再構成を行わない——翻訳のみ行う。

出力形式:

日本語翻訳:

ここに翻訳文を記述します。

翻訳すべきテキスト

(必要に応じて貼り付ける;そうでない場合は元のテキストを繰り返す): The Summary

本文

Tor ネットワークにおける大規模な SSH 中間者攻撃:333 台のエグジットノードが支配された真実

事件の概要

2026 年 10 月 2 日朝、Tor ネットワーク史上最大級のセキュリティインシデントが発生しました。

  • 攻撃開始時刻: 10 月 2 日(金)午前 9 時 35 分頃
  • 感染ノード数: 333 台のエグジットリレーが連係して作戦を実行
  • Tor ネットワーク全体への影響: 約 3,000 台の全リレーのうち、約 10% が攻撃者の支配下にあった

攻撃者はサーバーへの侵入(2 ヶ月前)から静かに Ebury バージョン 1.8.3 というバックドアツールの展開を行いました。

攻撃の目的と手法

今回の攻撃には主に以下の 2 つの目的がありました:

  • 暗号化されていないデータの収集: メールトラフィックなどの平文データを大量に窃取する
  • SSH 接続の傍受(MITM): 中間者攻撃により、通信内容を監視・改ざんを行う

SSH 接続への影響

感染者のエグジットノードは、特定のポートへのアクセスを遮断し、「暗号化されていないメールトラフィックのみ」を処理するよう意図的に設定されていました。

リダイレクトによる巧妙な攻撃手法

被害者が感染したエグジットノードを経由した場合、以下のような挙動が確認されています:

  • HTTP/HTTPS トラフィック: 通常通り暗号化されて転送される(気づきにくい)
  • SSH 接続(ポート 22): 知らずのうちに攻撃者管理の 12 台の SSH サーバーへリダイレクトされる

この現象を体験した際の警告メッセージは以下の通りです:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ED25519 key sent by the remote host is  
SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E.  
Please contact your system administrator.  

警告を無視した場合の深刻なリスク

SSH キー認証の問題を無視してログインを進めると、攻撃者は以下の 3 つの悪行を実行します:

  • パスワードの窃取: 入力された認証情報を盗む
  • コマンド観測: サーバー上で実行される全ての入力コマンドを盗聴する
  • 感染拡大: サーバーに第 2 の接続を開け、Ebury を導入して他のノードへ感染を広げる

発見から対応までのタイムライン

Tor プロジェクトのネットワークヘルスチームが迅速に対処しました。

時期イベント内容
10 月 2 日(金)傍受攻撃を開始、リレーを操作
10 月 4 日(日)ヘルスチームがオペレーターへ発表し、関連リレーの停止を開始
感染リレーは "BadExit" とマークされ、クライアント利用不可に
10 月 5 日(月)攻撃者が多数のリレーを再起動を試みるも、BadExit マークのため中継ノードとしての利用のみで留まる
感染サーバーが完全に停止

攻撃者の技術的痕跡

Tor チームの分析によると、攻撃者は以下のように作戦を実行しました:

  1. Linux ベースの主機へ侵入
  2. torrc
    ファイルを編集し、エグジットとして動作しない状態にする
  3. SSH 攻撃用にノードを仕向ける
echo "U=$(id -u) S=$(command -v sudo >/dev/null 2>&1 && (sudo -n true 2>/dev/null && echo nopass || echo maybe) || echo none)"
sudo bash -c 'echo <base64> | base64 -d | perl'

分析結果:

  • 権限確認後、Base64 符号化されたコマンドを実行する手法を採用
  • Ebury のインストールには Perl スクリプト を使用
  • Python SSH ライブラリ
    paramiko
    を利用

発見者の調査方法(技術詳細)

調査者が全 333 台の感染ノードを発見した経緯です:

検知スクリプトの実行フロー

exitmap
を使用し、以下の動作を約 3,000 台のエグジットリレーに対して全網羅的に実行しました:

  1. ピン固定: 特定のノードをルートに固定する
  2. 接続テスト: サーバー A からサーバー B へ SSH 接続を試みる

検証ポイント

  • サーバー A の確認: サーバー B が正しい SSHフィンガープリントを受信したか?
  • 経路の確認: 接続がピンされたエグジットノードから来るのか、それとも攻撃者のサーバーから来るのか?

分析結果

  • 偽のフィンガープリントを返す: 約 12 台
  • 接続転送のみ(傍受なし): 300 台以上
    • これらも「単なるリダイレクト」という感染挙動を示しており、すべてが感染していることを確認

ハニーポットによる追加分析

sshesame
をハニーポットとして利用し、攻撃者を誘導した結果:

  • Python の
    paramiko
    ライブラリを使用していること確認
  • Ebury インストール時に Perl スクリプトを利用していること確認

未解決の課題と懸念点

現在も完全な真相は解明されていません。

侵入経路の不詳

「攻撃者が当初、これほど多くのサーバーに侵入した方法」について:

  • 仮説: ホスティング事業者自体がハッキングされた可能性(議論中)
  • 現状:誰にも完全に判明していない

背後の主体と影響範囲

  • 犯罪団体の関与: Ebury の使用や平文データ収集は金銭的利益を目的とした活動を示唆
  • 残存感染リスク: Marc-Etienne M. Léveillé氏の見解によると、2009〜2023 年間に Ebury が搭載されたサーバーは 40 万台に及ぶため、現在も他の Tor リレーが感染している可能性が高い

攻撃開始時期の意図

攻撃者が「週末朝」を選んだ理由は、「対応を怠るだろう」という計算があったと考えられています。Tor チームの迅速な対応は高く評価されています。

まとめと教訓:ユーザーへのアドバイス

今回の事件から得られた基本的なセキュリティ教訓です:

  • 追加のセキュリティ投資は決して無駄ではない
  • 暗号化されていない通信(SSH キーなど)への対策が重要

推奨アクション

  1. 認証方法の変更: パスワード認証を無効化し、SSH キーによる認証へ移行する
  2. ハードウェアキーの導入: 多要素認証等のためのハードウェアキーの利用を検討する

「結局のところ、リレーやブリッジは、高リスクに晒される本番環境のマシンとして扱う必要があります。」
— George (Tor プロジェクト)

同じ日のほかのニュース

一覧に戻る →

2026/10/21 3:29

許認可付きシムシティ

## Japanese Translation: 「Permit Pending」は、プレイヤーの役割を全能な計画者から市町村行政の実態に直面する脆弱な選出された職吏へと転換させることで、都市シミュレーションを再定義します。明確な勝利条件を持つ従来のゲームとは異なり、このサンドボックス体験は市民が市長を罷免するまで無限に続き、成功の鍵はインフラを整備することのみならず、複雑な官僚主義と政治的課題に対応して生き延びるかに依存することが強調されています。すべての建設プロジェクトは必要な審議会の招集、法的レビュー、さらには潜在的な訴訟を引き起こし、霧などに関する懸念を抱える住宅所有者、業界団体、環境保護主義者からの自然な反対を誘発します。プレイヤーは 4 年ごとの再選に直面する 7 議席の評議会において多数派を維持するため、公聴会で譲歩を行わなければなりません。有権者 turnout が高いグループは時間とともに過剰な影響力を行使するため、変動する政治情勢への適応が求められます。ヒートマップなどの診断ツールにより住民の人口統計が可視化され、特定の政策がなぜ反発やゲーム内の新聞「The Gazette」で報じられたスキャンダルへと至るのかを説明します。いくつかの法的訴訟は市長の任期を超えて継続することもでき、インフラストラクチャに関する決定は土地価格、家賃、雇用、税金、サービスにわたって実質的な経済における予期せぬ結果を生み出します。ブラウザベースのサンドボックスであり勝利画面やキャンペーンモードを備えず、最初の訪問後にはオフラインで動作し、プレイヤーは村として新たなスタートを切るか、他人の都市から既存の問題を引き継ぐことができます。

2026/10/21 7:21

連邦当局は、ランサム交渉担当者による ShinyHunters の金銭要求サイト運営を疑っている

## Japanese Translation: # 結論: 調査は驚くべき事実を明らかにしており、主要なランサムウェア集団「ShinyHunters」が、その伸縮サイトの管理を担当する米国の企業やカナダの企業のトップ経営者から直接的な支援を受けていることが判明した。従来の助言とは異なり、これらの仲介人は積極的に交渉を促進し、場合によっては被害者よりも先に機密データの窃取の詳細を知っていることもある。あるカナダの経営者は、脅迫される前に政府機関のファイルが盗まれていたことをFBIに報告しなかった。この深い協力関係は2019年以来進化しており、殺人依頼計画を含む計画や、「Rey」のような現在の指導者を「Ghostbyte」であるDaniel Tobokなどの以前の人物と結びつけるものも含まれている。 このスキャンダルは業界内で重大な利益相反の問題を浮き彫りにしている:ランソムの一部割合を受け取る仲介人は、攻撃を止めるのではなく、結果としてより高い支払いを促すように無意識に動機付けられる可能性がある。起訴はEdward Dubrovskyのような個人や未起訴の米国コンサルタントを対象としており、企業の過失か積極的な共犯が深刻な法的結果をもたらすことを示している。当局は被害者にランソムの支払いを行わないよう明確に警告しており、データは通常二次的な伸縮のために利用可能であり続けるためである。最終的に、この事件は以前会社を支援していた交渉サービスに対する信頼を破壊しており、一部のサイバー犯罪ネットワークが効果的に動作するためには内部の経営者への依存が不可欠であることを証明している。 ## Text to translate: Summary: A disturbing investigation reveals that major ransomware group ShinyHunters receives direct support from high-level executives at U.S. and Canadian firms who manage its extortion websites. Unlike traditional advice, these intermediaries actively facilitate negotiations, sometimes knowing sensitive data theft details before the victims do. One Canadian executive failed to alert the FBI regarding stolen agency files prior to their threatened release. This deep collaboration has evolved since 2019, involving plans for murder-for-hire and linking current leaders like "Rey" to former figures such as Daniel Tobok ("Ghostbyte"). The scandal highlights a critical conflict of interest within the industry: negotiators charging percentages of ransoms may inadvertently incentivize higher payments rather than stopping attacks. Prosecutions are now focusing on individuals like Edward Dubrovsky and uncharged U.S. consultants, demonstrating that corporate negligence or active collusion carries severe legal consequences. Authorities explicitly advise victims against paying ransoms, as data often remains accessible for secondary extortion. Ultimately, this case destroys trust in negotiation services that previously assisted companies, proving that some cybercriminal networks rely entirely on insider executives to operate effectively.

2026/10/20 18:08

DeepInfer:DeepSeek モデル向けの高性能推論フレームワーク

## Japanese Translation: DeepInfer は、NVIDIA SM100 GPU および Huawei Ascend 950 NPU 上でスケールサービング能力を備え、DeepSeek-V4.1-Flash モデルの DeepSeek の本番サービスを支えるオープンソースの高パフォーマンス推論フレームワークです。主に vLLM に構築され、SGLang および TensorRT-LLM を念頭に置いて設計されています。最適化されたカーネル(FlashMLA、DeepGEMM、DeepEP、TileKernels、DeepSelect、カスタム TileLang)と、Attention DP、バランスの取れた CP、MoE EP+EPLB、DSpark、信頼度に基づく検証、SWA 有界再生非同期スケジューリング、バッチ不変推論、決定論的サンプリング、構造化出力(regex/JSON スキーマ/EBNF)を含む高度な並列化戦略を支援します。 コア機能は環境変数経由で設定可能であり、DEEPINFER_ENABLE_MTP_VARLEN=1 で DSpark/検証を有効化し、DEEPINFER_USE_NEXTN_DECODE(デフォルト:5)で最大ドラフト長を制御します。デフォルトの V4.1 設定に対しては、DEEPINFER_YOCO_PREFILL_TRUNCATION_MODE=compact と DEEPINFER_YOCO_PREFILL_KEEP_TOKENS=140 でデコーダー SWA 有界再生非同期スケジューリングを設定します。デフォルトで CPU バッチスケジューリングとデバイス実行のオーバーラップを可能にするため、非同期スケジューリングを有効化し、NVIDIA 上で DEEPINFER_BATCH_INVARIANT=1 でバッチ構成間での同等の結果を実現するバッチ不変推論を活性化します。DEEPINFER_BATCH_INVARIANT=1、DEEPINFER_ENABLE_MTP_VARLEN=0、SamplingParams の固定 seq_seed を使用することで NVIDIA 上で決定論的サンプリングを実現し、SamplingParams に so_args={"schema_type": ..., "schema": ...} を渡すことで生成を regex/JSON スキーマ/EBNF に制限します。 完全な本番環境のセットアップには、専用の KV キャッシュシステムの統合、 disaggregated 形式での prefill/decode 操作の実施、およびデータ並列レプリカ間での負荷分散(初回リリースには含まれていない)が最終的には必要となる可能性があります。ユーザーは Linux、GCC ≥13.0、Python 3.12、CUDA 13(NVIDIA)または CANN 9.2(Ascend)、そして空の Python 3.12 環境の作成、DEEPINFER_ACCELERATOR=nvidia または ascend のエクスポート、および ./build.sh の実行からすぐに始めることができます。オフライン推論はデフォルトで deepseek-ai/DeepSeek-V4.1-Flash-1017 チェックポイントを使用し、初回実行時に Hugging Face キャッシュにダウンロードするか、DEEPINFER_HF_MODEL_DIR を介してオーバーライドします。例コマンドは python examples/offline_inference.py です。パフォーマンスベンチマークは 1 スケールアップドメイン内での prefill に 4 SM100 GPU、decode に 64 を使用して測定されました(再現は run_sweep.sh で可能;詳細は eval/README.md を参照)。このフレームワークは Apache License 2.0 の元でリリースされており、GitHub(https://github.com/deepseek-ai/DeepInfer)上で DeepSeek-AI(2026)に帰属しています。