十分之一的Tor出口节点被安装Ebury后门，用于SSH中间人攻击，Tor项目紧急标记BadExit
近日，瑞士的安全研究专家发布文章，披露了其本月初协助Tor团队移除了300多个受后门感染的Tor出口节点。“暗网下/AWX”在本文对该文章进行了翻译，并将技术细节进行讲解。
文章称，2026年10月2日上午约9时35分，333个已遭感染的Tor出口节点开始协同行动：拦截SSH连接，并尽可能收集未加密数据。Tor网络全网出口中继约3000个，这意味着攻击方一度控制了约十分之一的出口节点。攻击者早在8月份就获得了服务器的访问权限，并悄悄部署了Ebury 1.8.3有效载荷——这是一种用于Linux的OpenSSH后门与凭据窃取程序。
Tor出口节点是构成Tor回路的三跳中继中的最后一跳，负责把匿名网络内的流量接到开放互联网。目标站点若使用HTTPS，出口节点通常只能看到加密流量；若使用HTTP或其它明文协议，出口节点则可能看到甚至改写内容。本次事件中，攻击者正是利用对出口节点的控制，把特定协议（尤其是22端口的SSH）导向自有拦截基础设施。
攻击目的与攻击方法 此次协同攻击至少有两个主要目的：一是尽可能多地收集未加密的邮件流量；二是对SSH连接进行拦截实施中间人攻击（MITM）。
攻击方通过封锁部分端口，使得受控出口节点只能处理未加密的邮件流量。一位资深Tor运营者在tor-relays邮件列表中详细描述了相关现象。本文（来自KABA.CX）重点介绍了第二类行为：SSH中间人攻击。
若用户的Tor回路恰好经上述333个恶意出口之一离开网络，初期往往难以察觉：加密网页流量会照常转发；一旦尝试通过22端口建立SSH连接，请求会被重定向到12台SSH拦截服务器中的一台。用户端可能收到类似如下的主机密钥变更警告：
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that a host key has just been changed. The fingerprint for the ED25519 key sent by the remote host is SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E. Please contact your system administrator. 若用户忽略警告并继续登录，攻击者会完成三件事：窃取密码；建立通向真实目标服务器的连接并监视用户输入的每一条命令（真正的中间人会话）；再开第二条连接，向目标服务器植入Ebury。
发现、报告与下线时间线 安全研究者（KABA.