Lobsters | 📄 原文链接 | 2026-10-22 收录

333 个 Tor 出口节点被 Ebury 感染，我用一个脚本把它们全找了出来

来源：kaba.cx — 2026-10-20

📋 概述

10 月 2 日，333 个被植入 Ebury 1.8.3（Linux 上的 OpenSSH 后门与凭据窃取器）的 Tor 出口节点同时开始劫持 SSH 与明文邮件流量。全 Tor 约 3000 个出口，等于十分之一被控制，攻击者两个月前就已入侵。作者用 exitmap 写脚本遍历全部出口：从服务器 A 经固定出口连服务器 B，两端互相核对指纹与来源 IP，发现十几台返回假指纹、三百多台无声地把流量转到 12 台拦截服务器。整件事 5 天内收场。

🔑 核心要点

若 SSH 连接恰好走出这些节点，22 端口会被转到 12 台拦截服务器之一，host key 变化时 ssh 会告警，忽略告警后密码就被偷走
检测思路简单可靠：光是把连接重定向就已经足够证明该出口被感染，不必等它返回假指纹
用 sshesame 做蜜罐骗过中间人，看清对方用 paramiko 登录、用 Perl 执行 base64 编码的载荷安装 Ebury
时间线：10 月 2 日拦截开始，4 日 Tor 网络健康团队通知运营者并标记 BadExit，5 日所有感染机被关停
结论落在个人防护上：关掉密码登录改用密钥，他当天就去买硬件密钥

💡 金句

It seems the attacker is gaining access to Linux based hosts and when these machines are running non-exits they are editing the torrc file and turning them into exits to be able to carry out the SSH attack.

← 返回 Lobsters 首页