Tor 出口节点被控十分之一

刚看到一条挺炸的消息：有人控制了 Tor 网络里 333 个出口节点，协同发动中间人攻击，而整个 Tor 出口节点总共才 3000 个左右，等于十分之一被端了。攻击者其实早在 8 月就拿到了节点服务器的控制权，部署了 Ebury 1.8.3 这个 Linux 下的 OpenSSH 后门和凭据窃取程序，一直潜伏到 10 月 2 日才动手。

攻击目标很明确：一是尽量多收集未加密的邮件流量，二是拦截 SSH 连接。如果你在攻击期间走的 Tor 回路恰好经过那 333 个恶意出口之一，又尝试用 22 端口连 SSH，请求就会被重定向到 12 台拦截服务器中的一台。用户要是无视中间人警告继续连，密码就被偷了，攻击者还能建连、监视你敲的每一条命令，顺手把 Ebury 种进去。Tor 项目团队 10 月 4 日把这些节点标记成 BadExit，回路不再走它们出口；10 月 5 日恶意节点全部关闭，一部分是运营者接到通知后自己关的，一部分是攻击者主动撤的。从收集未加密邮件这个动作看，背后动机大概率是经济驱动，而不是纯炫技。我的判断是，这事再次说明 Tor 的出口节点是整个匿名链路里最脆弱的一环。HTTPS 和 SSH 的加密能挡一部分，但前提是用户真的看警告、真的校验证书指纹。很多人在终端里看到 host key 变了，随手敲个 yes 就过去了，攻击者要的就是这个。对跨境和出海团队来说，如果有人在用 Tor 做远程运维或者访问敏感后台，建议立刻排查：SSH 强制走密钥加严格 host key 校验，别用密码登录；邮件和后台一律 HTTPS，别碰明文协议。出口节点被控十分之一这种事，不会只发生一次。