無視された一つの警告が扉を開いた
10月2日、侵害された333個のTor出口リレーが、12台の傍受サーバーを経由してSSH接続をリダイレクトし始めました。これはネットワークの出口リレーの約10%に相当します。全帯域幅に占める割合は小さいものの、この組織的なキャンペーンは匿名ネットワークの大部分を効果的に武器化しました。
その罠は巧妙でした。通常のウェブトラフィックはそのまま通過しますが、ポート22のSSHトラフィックは改ざんされました。SSH接続を試みるユーザーは知らぬ間に12台の傍受サーバーのいずれかに誘導され、「Remote host identification has changed（リモートホストの識別情報が変更されました）」という重大な警告が表示されました。
多くの開発者はこうしたプロンプトを無視することに慣れており、そのままクリックして進んだと考えられます。しかし、この警告を無視してパスワード認証を続行すると、認証情報が露呈し、入力されたすべてのコマンドが記録され、さらにOpenSSHのバックドアおよび認証情報窃取ツールである「Ebury」がサーバーに展開される結果となりました。
この警告こそが鍵となります。SSHホストキーはクライアントがサーバーの身元を確認するためのものであり、不一致は正当なサーバーの再構築といった無害なイベントを示すこともあります。しかし、これはアクティブな「中間者攻撃（man-in-the-middle attack）」を示す強力な指標でもあります。この事件は、このプロンプトを決して日常的なものとして扱ったり、厳密な調査なしにクリックして通過したりしてはならないことを明確に示しました。
リレーの罠はどのようにTorの外へ広がったか
攻撃者は8月にリレーホストを侵害し、Linuxバックドアおよび認証情報窃取ツールである「Ebury」をインストールすることで、周到に罠を仕掛けました。その後、342個のリレーで「torrc」ポリシーを変更してポート22の通信を明示的に許可し、少なくとも24個の非出口リレーを出口ノードに変換しました。これにより、通常はSSHトラフィックを扱わないリレーを経由してSSH通信を出口へ流し、12台の専用SSH傍受サーバーへ接続をリダイレクトさせました。
被害者が「Remote host identification has changed」という警告に遭遇し、置き換えられたSSHキーを受け入れた場合、その結果は迅速かつ深刻なものでした。パスワードでログインすると、多角的な攻撃が実行されました。
- 認証情報の窃取
- 包括的なコマンド監視
- 宛先サーバーへの2つ目のSSHセッションを自動的に開き、sudo権限を使用してbase64エンコードされたインストーラー経由でEburyをインストールする試み
この事件は、Torがすべての接続を暗号化したり、すべてを露呈させたりしたことを意味するものではありません。Torネットワークはルーティングの匿名性を提供するものであり、エンドツーエンドの保護を提供するものではありません。Torは標準的なウェブトラフィック（ポート80/443）をそのままルーティングします。SSHホスト検証は、出口リレーが宛先になりすますことを防ぐ重要な防衛策であり、Torの出口ノードの10%、全出口帯域幅の7.46%を占める333個の侵害されたリレーは、この防衛策を無効化しました。
333個のリレーを露呈させたフィンガープリントの不一致
「Remote host identification has changed」というSSH警告は、通常であれば無視してクリックされるものです。しかし今回、研究者のkaba氏はこれを行動の合図と捉えました。予期せぬフィンガープリントを無視する代わりに、kaba氏はTor出口リレースキャナーである「ExitMap」を活用し、ネットワークを体系的にテストしました。
kabaのメソッドは洗練されていました。2つの制御されたサーバー間を接続し、Torの各出口リレーを経由してトラフィックをルーティングし、変更されたSSHフィンガープリントを確認するというものです。この体系的なアプローチが極めて重要でした。これにより、kabaは組織的で広範囲にわたる傍受キャンペーンと、個別のサーバー再構築や単純な設定ミスを区別し、攻撃が前例のない規模であることを確認できました。ネットワーク分析に関心がある方は、Exitmap: Fast and Modular Tor Exit Relay Scannerで、この強力なツールについてさらに詳しく学ぶことができます。
10月4日までに、Torのネットワークヘルスチームは悪意のあるリレーを「BadExit」としてフラグ付けしました。これらは10月5日までにアクティブなネットワークコンセンサスから迅速に削除されました。Torチームは、これをTorのアーキテクチャの根本的な欠陥ではなく、その高度さを証明する前例のない攻撃であると評価しました。このインシデントは、ネットワークの整合性を維持する上で独立した研究者が果たす重要な役割を浮き彫りにしました。
この記事が気に入ったら、毎朝同じようなものをメールで受け取れます。
1日1通 · 2クリックで解除 · サードパーティのトラッキングなし
SSHの警告をスピードバンプではなく、停止信号と見なすこと
「Remote host identification has changed（リモートホストの識別情報が変更されました）」という警告は、提案ではなくアラームです。SSHホストキーが変更された場合は、停止してください。信頼できる帯域外チャネルを通じて新しいフィンガープリントを確認し、その後でのみknown_hostsファイルを更新してください。確認なしに古いキーを盲目的に削除したり、交換を受け入れたりしないでください。それこそが、Eburyの攻撃者が認証情報を盗み出した手口です。
可能な限り、パスワードベースのSSH認証を無効にしてください。公開鍵認証はパスワード盗難のリスクを大幅に低減しますが、ホストのID確認を不要にするものではありません。ハードウェアセキュリティモジュールを用いた強力な鍵管理はセキュリティをさらに強化しますが、侵害されたホストキーは依然として重大な脅威です。
運用者はこれらの教訓をワークフローに組み込む必要があります。予期しないSSHアクセスや認証ログを直ちに確認してください。見慣れないプロセスや変更されたOpenSSHコンポーネントがないかチェックしてください。Ebury 1.8.3は隠密性が高い場合があります。ESETの研究による侵害指標（IoC）を使用してEbury感染の疑いがあるものを調査し、インシデントの詳細についてはkabaのレポートを参照してください。
333個のTorノードに対するこの攻撃は、セキュリティは鎖であり、ユーザーの習慣が最も弱いリンクになることが多いという厳しい教訓を与えました。SSHの警告をスピードバンプではなく、停止信号にしてください。
よくある質問（FAQ）
Tor SSH攻撃で何が起きたのですか？
攻撃者は侵害されたTorリレーを使用してSSH接続を傍受サーバー経由でリダイレクトし、ホストキーの警告を無視したユーザーから認証情報を盗み出しました。
攻撃はすべてのTorトラフィックを侵害しましたか？
いいえ。報告されたキャンペーンはSSH接続を標的としており、通常のWebトラフィックはそのまま通過していました。Torはエンドツーエンドの暗号化やSSHホスト検証の代わりにはなりません。
Eburyとは何ですか？
Eburyは、OpenSSHの改ざんやサーバー間での感染拡大に関連する、Linuxバックドアおよび認証情報窃取マルウェアファミリーです。
SSH接続を保護するにはどうすればよいですか？
信頼できるチャネルで確認できるまで予期しないホストキーの変更を拒否し、SSHキーを使用し、可能な場所ではパスワードベースのSSH認証を無効にしてください。
ExitMapとは何ですか？
ExitMapはTor出口リレーをスキャンするためのツールであり、研究者のkabaがSSH接続を変更したリレーを特定するために使用しました。