10月2日，攻击者利用其控制的333个Tor出口节点协同拦截SSH连接，发动中间人攻击。Tor出口节点是构成Tor回路的三个中继中的最后一跳，负责连接Tor匿名网络与开放互联网。根据目标网站使用HTTPS还是HTTP协议，出口节点能够看到和操纵的用户访问内容范围有所不同。
目前整个Tor网络共有大约3000个出口节点，这意味着攻击者控制了约十分之一的出口中继。攻击者实际上早在8月就已控制运行Tor节点的服务器，并部署了恶意程序Ebury 1.8.3，该程序是Linux环境下的OpenSSH后门与凭据窃取工具。
此次协同攻击有两个目的：尽可能多地收集未加密邮件流量，以及拦截SSH连接，即实施SSH中间人攻击。在攻击期间，如果用户的Tor回路经过333个恶意出口节点之一，当其尝试通过22端口建立SSH连接时，请求会被重定向到12台SSH拦截服务器中的一台。若用户无视中间人攻击警告，攻击者将窃取密码、建立服务器连接、监视用户输入的每一条命令，并植入Ebury。
Tor项目团队于10月4日将这些恶意节点标记为BadExit，Tor回路不再利用这些节点出口流量。10月5日，所有恶意节点全部关闭，其中部分由Tor节点运营者接到通知后关闭，部分由攻击者自行关闭。鉴于幕后攻击者收集未加密邮件数据的行为，此次行动可能出于经济动机。
此次事件再次凸显匿名网络出口节点的安全风险。出口节点作为Tor流量离开匿名网络的最后一环，长期是攻击者实施流量监听和凭据窃取的薄弱点，节点运营者的身份审核与行为监测机制仍面临挑战。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
