300 多个 Tor 出口节点被清除始末

How I got over 300 Tor exit nodes removed

10 月 2 日，333 个受感染的 Tor 出口节点突然发起协调攻击，旨在拦截 SSH 连接并窃取未加密邮件。攻击者早在两个月前就植入了 Ebury 1.8.3 后门，将用户的 SSH 流量重定向到恶意服务器，不仅窃取密码，还能监控操作甚至进一步感染目标服务器。发现异常后，我立即联系了 Tor Project 的 network health 团队，他们迅速确认了攻击模式并通知运营商下线这些节点。尽管攻击者试图重启部分节点，但因已被标记为 BadExit 而失效。此次事件再次证明，将 relays/bridges 视为高度受攻击的生产环境至关重要，务必禁用密码认证并改用 ssh keys。