根据一名网络志愿者发布的报告，Tor 网络中超过 300 个出口节点（Exit Nodes）遭到了一场有组织的入侵行动，共涉及 333 个节点。这些节点被重新配置，旨在优先处理未加密的电子邮件流量，并将安全外壳协议（SSH）连接重定向到攻击者控制的服务器。
攻击始于去年 8 月，当时攻击者利用之前使用过的密码获得了 Tor 网络管理服务器的访问权限，随后安装了一种名为 Ebury 的恶意软件。Ebury 是一种十二年前被发现的 Linux 后门程序。此次入侵还波及了另一台名为 Switzerland2 的 Tor 服务器，由于未知原因，调查人员在该服务器的授权密钥中未能找到攻击者所使用的 RSA 密钥。
拦截与重定向操作详情
调查显示，受影响的出口节点总数为 333 个。在 10 月 2 日至 5 日期间，这些节点被用于执行两类主要攻击：
- 拦截 SSH 连接：通过 Tor 网络传输的 SSH 流量被重定向到 12 台攻击者控制的拦截服务器之一。当用户忽略密钥更改警告时，系统会提示他们输入密码。
- 针对电子邮件：用于接收加密电子邮件的端口（25、465、587、993 和 995）被封锁，而未加密端口保持开放。这使得攻击者能够在服务降级为非加密传输时，尝试获取明文格式的邮件内容。
如何发现此次入侵？
化名为 Kaba 的志愿者（其个人服务器也遭到了入侵）指出，用户在通过受感染节点时起初可能不会察觉到任何变化，因为加密的 Web 流量会照常传输。但当尝试通过 22 端口进行连接时，系统会触发非预期的重定向，并伴随明确的“远程主机身份已更改”（Remote Host Identification Has Changed）警告。
为了评估此次行动的规模，该志愿者编写了一个脚本，用于检查 Tor 网络中约 3000 个出口节点并验证其 SSH 指纹的有效性，同时还设置了一个蜜罐（Honeypot）来监控登录尝试和恶意软件安装行为。
此事件对安全专家意味着什么？
此次事件引发了关于攻击者如何能够访问如此多服务器的疑问，同时也让幕后黑手身份成谜，尽管调查人员倾向于认为是一个以经济利益为动机的犯罪团伙在使用 Ebury 恶意软件。
这对用户和系统管理员意味着什么？此次入侵凸显了纵深防御策略在保护数据方面发挥的关键作用，并强调了配置电子邮件账户仅接受加密流量并拒绝非加密端口的必要性，此外还应依赖 SSH 密钥并禁用传统的密码认证方式。