Ebury bulaşmış Tor exit relay'leri ağın onda birinde SSH girişlerini araya soktu

Ne oldu

2 Ekim 2026'da saat 09:35'te, 333 Tor exit relay'i eşgüdümlü bir kampanyayla SSH bağlantılarını yakalamaya ve şifrelenmemiş trafiği toplamaya başladı; bu bilgi, düzneyi ortaya çıkaran araştırmacının kaba.cx adresindeki blogunda yayımlanan ve daha sonra Hacker News'te görünen yazısına dayanıyor. Tor'da toplamda yalnızca yaklaşık 3.000 exit relay'i çalıştığından, ağın exit kapasitesinin neredeyse onda biri tek bir saldırganın kontrolü altındaydı.

Ele geçirme saldırıdan daha eskiydi. Gönderiye göre sunucular iki ay önce, Ağustos'ta ihlal edilmiş ve sessizce Ebury 1.8.3 ile aşılanmıştı; Ebury, Linux için uzun ömürlü bir OpenSSH arka kapısı ve kimlik bilgisi çalıcıdır.

Yakalama nasıl çalıştı

Yazıda iki hedef belirtiliyor: mümkün olduğunca çok şifrelenmemiş posta trafiği toplamak ve SSH oturumlarında adam-ortada saldırısı yapmak. Posta tarafı relay yapılandırmasıyla halledildi — belirli portlar engellenerek bulaşmış exit'lerin yalnızca şifrelenmemiş posta protokollerini taşıması sağlandı; bu yön, deneyimli bir relay operatörü olan bir kurban tarafından ayrıca belgelendi.

SSH tarafıysa yönlendirmeyle çalışıyordu. Şifrelenmiş web trafiği normal şekilde geçiyordu, ancak 22 numaralı porta yapılan her bağlantı sessizce on iki yakalama sunucusundan birine yönlendiriliyordu. Bu, istemcinin gördüğü host key'i değiştirdiğinden, parmak izlerini denetleyen kullanıcılara standart "REMOTE HOST IDENTIFICATION HAS CHANGED" uyarısı gösteriliyordu — yazarın Cuma sabahı karşılaştığı da tam olarak buydu. Uyarıyı görmezden gelip parolayla giriş yapan herkes saldırgana aynı anda üç şey teslim ediyordu: parolanın kendisi, oturuma yazılan her komutun canlı bir aktarım görünümü ve Ebury'yi kurbanın sunucusuna yerleştirmek için kullanılan ikinci bir bağlantı.

Üç günlük etkisizleştirme

Yazar Cuma akşamı Tor Project'in ağ sağlığı ekibini uyardı; gönderide alıntılandığı üzere ekip "böyle bir saldırıyı daha önce görmediğini" söyledi. Yakalama 2 Ekim'de başladı. Pazar günü, 4 Ekim'de, sağlık ekibi operatörlere haber verdi ve operatörler relay'leri kapatmaya başladı; bulaşmış exit'ler, istemcilerin artık trafiği bunlardan dışarı yönlendirmemesi için BadExit olarak işaretlendi. Pazartesi günü, 5 Ekim'de, saldırganlar birçok makineyi yeniden başlattı, ancak işaret onları yalnızca middle-relay göreviyle sınırladı; günün sonunda ele geçirilmiş her sunucu çevrimdışıydı — bir kısmı operatörler, bir kısmıysa saldırganların kendileri tarafından kapatıldı. Yazar, Cuma günü başlatılmasının kimse hafta sonunu buna yanıt vermeye harcamak istemeyeceği umuduna zamanlandığından şüpheleniyor.

Yazıda alıntılanan sağlık ekibinin duyurusu deseni şöyle anlatıyor: saldırgan Linux sunucularını ele geçiriyor ve exit olmayan relay çalıştıran makinelerde torrc dosyasını düzenleyerek bunları SSH saldırısına elverişli exit'lere dönüştürüyor. Tor'un genel ölçümleri 4 Ekim'de exit kapasitesindeki düşüşü gösteriyor ve yazar bunun hâlâ geri kazanlmadığını not ediyor.

Bulaşmış relay'ler nasıl tespit edildi

Yazar, exitmap üzerine, yaklaşık 3.000 exit relay'inin her birini sırayla sabitleyen ve kontrollü bir sunucudan diğerine SSH bağlantısı açan bir tarama kurdu. Bir uç alınan host key'i doğruluyordu; öbür uç bağlantının sabitlenen exit'ten mi yoksa yakalama sunucularından birinden mi geldiğini kaydediyordu. Yaklaşık bir düzine relay doğrudan sahte bir parmak izi sunuyordu ve 300'den fazlası yalnızca yönlendirme yapıyordu — bu başına bile bulaşmayı doğrulamaya yetti.

sshesame ile kurulan bir honeypot araç zincirini tamamladı: yakalama katmanı paramiko adlı bir Python SSH kütüphanesiyle bağlanıyor ve Ebury'yi Perl üzerinden kurmayı deniyor; önce kullanıcının ayrıcalıklarını ve sudo'nun kullanılabilirliğini yokluyor, sonra base64 ile kodlanmış bir komut çalıştırıyordu.

Açık sorular

En büyük bilinmeyen ilk erişim. Tor Project posta listelerinde tartışılan bir kurama göre bir barındırma sağlayıcısı ihlal edilmişti, ancak yazar bunun kanıtlanmadığını vurguluyor. Atfı da aynı şekilde açık; Ebury kullanımı ve toplu düz metin verisine olan iştah, mali amaçlı bir suç grubuna işaret ediyor, ancak bu da spekülasyon olarak nitelendiriliyor. Yazıda alıntılanan Marc-Etienne M. Léveillé, Ebury'nin 2009 ile 2023 arasında yaklaşık 400.000 sunucuya bulaştığına dikkat çekiyor; bu da ağda muhtemelen başka ele geçirilmiş Tor relay'lerinin kaldığı anlamına geliyor.

Neden önemli

Tor kullanıcıları için bu, soyut bir riski somut bir sayıya dönüştürdü: en yüksek noktada yaklaşık on devreden biri saldırgan kontrollü donanımdan çıkıyordu. Avutan yanı, saldırının host key sahtelayamamasıydı; böylece parmak izi doğrulaması onu yakaladı — ve parola yerine SSH anahtarıyla kimlik doğrulanan oturumlarda çalınacak kimlik bilgisi yoktu. Operatörler için başlıktan alıntılanan tavsiye net: relay'ler ve köprüler, başını boşaktan sonra unutulan amatör kutular olarak değil, yüksek hedefli üretim makineleri olarak çalıştırılmalı. Exit kapasitesi hâlâ baskınken yazarın kapanış talebi daha fazla gönüllünün relay çalıştırması yönünde.