
2026/10/20 22:39
私が 300 つ以上の Tor エグジットノードの削除に成功した方法
RSS: https://news.ycombinator.com/rss
要約▶
日本語翻訳:
ルール
- 元の意味を正確に保持する(追加・省略なし)。
- ドキュメント構造(見出し、箇条書きなど)を維持する。
- 技術用語は正確に扱う(API、LLM、zero-trust は自然な日本語がある限りそのまま使用する)。
- トーンと確信のレベルを維持する。
- まとめ、説明、再構成を行わない——翻訳のみ行う。
出力形式:
日本語翻訳:
ここに翻訳文を記述します。
翻訳すべきテキスト
(必要に応じて貼り付ける;そうでない場合は元のテキストを繰り返す): The Summary
本文
Tor ネットワークにおける大規模な SSH 中間者攻撃:333 台のエグジットノードが支配された真実
事件の概要
2026 年 10 月 2 日朝、Tor ネットワーク史上最大級のセキュリティインシデントが発生しました。
- 攻撃開始時刻: 10 月 2 日(金)午前 9 時 35 分頃
- 感染ノード数: 333 台のエグジットリレーが連係して作戦を実行
- Tor ネットワーク全体への影響: 約 3,000 台の全リレーのうち、約 10% が攻撃者の支配下にあった
攻撃者はサーバーへの侵入(2 ヶ月前)から静かに Ebury バージョン 1.8.3 というバックドアツールの展開を行いました。
攻撃の目的と手法
今回の攻撃には主に以下の 2 つの目的がありました:
- 暗号化されていないデータの収集: メールトラフィックなどの平文データを大量に窃取する
- SSH 接続の傍受(MITM): 中間者攻撃により、通信内容を監視・改ざんを行う
SSH 接続への影響
感染者のエグジットノードは、特定のポートへのアクセスを遮断し、「暗号化されていないメールトラフィックのみ」を処理するよう意図的に設定されていました。
リダイレクトによる巧妙な攻撃手法
被害者が感染したエグジットノードを経由した場合、以下のような挙動が確認されています:
- HTTP/HTTPS トラフィック: 通常通り暗号化されて転送される(気づきにくい)
- SSH 接続(ポート 22): 知らずのうちに攻撃者管理の 12 台の SSH サーバーへリダイレクトされる
この現象を体験した際の警告メッセージは以下の通りです:
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that a host key has just been changed. The fingerprint for the ED25519 key sent by the remote host is SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E. Please contact your system administrator.
警告を無視した場合の深刻なリスク
SSH キー認証の問題を無視してログインを進めると、攻撃者は以下の 3 つの悪行を実行します:
- パスワードの窃取: 入力された認証情報を盗む
- コマンド観測: サーバー上で実行される全ての入力コマンドを盗聴する
- 感染拡大: サーバーに第 2 の接続を開け、Ebury を導入して他のノードへ感染を広げる
発見から対応までのタイムライン
Tor プロジェクトのネットワークヘルスチームが迅速に対処しました。
| 時期 | イベント内容 |
|---|---|
| 10 月 2 日(金) | 傍受攻撃を開始、リレーを操作 |
| 10 月 4 日(日) | ヘルスチームがオペレーターへ発表し、関連リレーの停止を開始 感染リレーは "BadExit" とマークされ、クライアント利用不可に |
| 10 月 5 日(月) | 攻撃者が多数のリレーを再起動を試みるも、BadExit マークのため中継ノードとしての利用のみで留まる 感染サーバーが完全に停止 |
攻撃者の技術的痕跡
Tor チームの分析によると、攻撃者は以下のように作戦を実行しました:
- Linux ベースの主機へ侵入
ファイルを編集し、エグジットとして動作しない状態にするtorrc- SSH 攻撃用にノードを仕向ける
echo "U=$(id -u) S=$(command -v sudo >/dev/null 2>&1 && (sudo -n true 2>/dev/null && echo nopass || echo maybe) || echo none)" sudo bash -c 'echo <base64> | base64 -d | perl'
分析結果:
- 権限確認後、Base64 符号化されたコマンドを実行する手法を採用
- Ebury のインストールには Perl スクリプト を使用
- Python SSH ライブラリ
を利用paramiko
発見者の調査方法(技術詳細)
調査者が全 333 台の感染ノードを発見した経緯です:
検知スクリプトの実行フロー
exitmap を使用し、以下の動作を約 3,000 台のエグジットリレーに対して全網羅的に実行しました:
- ピン固定: 特定のノードをルートに固定する
- 接続テスト: サーバー A からサーバー B へ SSH 接続を試みる
検証ポイント
- サーバー A の確認: サーバー B が正しい SSHフィンガープリントを受信したか?
- 経路の確認: 接続がピンされたエグジットノードから来るのか、それとも攻撃者のサーバーから来るのか?
分析結果
- 偽のフィンガープリントを返す: 約 12 台
- 接続転送のみ(傍受なし): 300 台以上
- これらも「単なるリダイレクト」という感染挙動を示しており、すべてが感染していることを確認
ハニーポットによる追加分析
sshesame をハニーポットとして利用し、攻撃者を誘導した結果:
- Python の
ライブラリを使用していること確認paramiko - Ebury インストール時に Perl スクリプトを利用していること確認
未解決の課題と懸念点
現在も完全な真相は解明されていません。
侵入経路の不詳
「攻撃者が当初、これほど多くのサーバーに侵入した方法」について:
- 仮説: ホスティング事業者自体がハッキングされた可能性(議論中)
- 現状:誰にも完全に判明していない
背後の主体と影響範囲
- 犯罪団体の関与: Ebury の使用や平文データ収集は金銭的利益を目的とした活動を示唆
- 残存感染リスク: Marc-Etienne M. Léveillé氏の見解によると、2009〜2023 年間に Ebury が搭載されたサーバーは 40 万台に及ぶため、現在も他の Tor リレーが感染している可能性が高い
攻撃開始時期の意図
攻撃者が「週末朝」を選んだ理由は、「対応を怠るだろう」という計算があったと考えられています。Tor チームの迅速な対応は高く評価されています。
まとめと教訓:ユーザーへのアドバイス
今回の事件から得られた基本的なセキュリティ教訓です:
- 追加のセキュリティ投資は決して無駄ではない
- 暗号化されていない通信(SSH キーなど)への対策が重要
推奨アクション
- 認証方法の変更: パスワード認証を無効化し、SSH キーによる認証へ移行する
- ハードウェアキーの導入: 多要素認証等のためのハードウェアキーの利用を検討する
「結局のところ、リレーやブリッジは、高リスクに晒される本番環境のマシンとして扱う必要があります。」
— George (Tor プロジェクト)