Tor 출구 노드 300개 이상을 퇴출시킨 과정

감염된 Tor 출구 노드 333개가 10월 2일부터 SSH 연결 가로채기와 평문 데이터 수집을 시작함. 전체 출구 릴레이 약 3,000개의 10%에 해당하는 규모임 공격자는 22번 포트 SSH 연결을 12개 가로채기 서버 중 하나로 우회시킴. 호스트 키 변경 경고를 무시하고 로그인하면 비밀번호 탈취, 명령 감시, 접속 대상 서버의 Ebury 감염으로 이어짐 피해 이용자의 신고 이후 Tor 네트워크 상태 관리팀이 운영자들과 대응함. 10월 4일 BadExit 지정으로 해당 릴레이의 출구 사용을 차단했으며, 5일까지 감염 서버가 모두 종료됨 exitmap으로 전체 출구 릴레이의 SSH 지문과 접속 출발지를 대조함. 가짜 지문을 보내지 않더라도 동일한 가로채기 서버를 경유하는지 확인해 감염 노드를 식별함 최초 침입 경로와 공격 주체는 여전히 불명확함. 비밀번호 인증 대신 SSH 키를 사용하고, 릴레이와 브리지를 집중 공격 대상인 프로덕션 서버로 취급할 필요가 있음 공격 규모와 SSH 가로채기 방식 10월 2일 금요일 오전 9시 35분, 감염된 출구 노드 333개가 조직적인 가로채기를 시작함 Tor 전체 출구 릴레이 약 3,000개 중 대략 10% 가 공격자의 통제 아래 있었음 공격자는 두 달 전인 8월 서버 접근 권한을 확보하고 Linux용 OpenSSH 백도어이자 자격 증명 탈취 도구인 Ebury 1.8.3을 조용히 배포함 공격 목표는 평문 메일 트래픽 수집과 SSH 중간자 공격(MITM) 두 가지였던 것으로 보임 특정 포트를 차단해 출구 노드가 암호화되지 않은 메일 트래픽만 처리하도록 함 피해자인 숙련된 Tor 운영자가 메일 트래픽 공격의 상세 내역을 공개함 SSH 공격에서는 감염된 출구를 경유하더라도 암호화된 웹 트래픽은 정상 전달되지만, 22번 포트로 SSH 연결을 시도하면 12개 가로채기 서버 중 하나로 우회됨 신고자는 금요일 아침 SSH 연결이 우회되면서 WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! 경고를 받음 경고에는 원격 호스트의 ED25519 키 지문이 달라졌으며, 중간자 공격 또는 호스트 키 변경일 수 있다는 안내가 있었음 경고를 무시하고 로그인하면 공격자가 비밀번호를 탈취하고 접속 대상 서버에 두 개의 연결을 엶 첫 번째 연결로 사용자가 입력하는 모든 명령을 관찰함 두 번째 연결로 대상 서버를 Ebury에 감염시킴 신고부터 출구 차단과 서버 종료까지 신고...