300 से ज़्यादा Tor Exit Nodes हटाए गए
मूल शीर्षक: How I got over 300 Tor exit nodes removed
यह क्यों महत्वपूर्ण है
Tor के 10% exit nodes का एकसाथ compromise होना privacy network की संरचनागत कमज़ोरी उजागर करता है।
2 अक्टूबर 2026 को 333 संक्रमित Tor exit nodes ने SSH connections को intercept करना शुरू किया। कुल ~3000 exit relays में से ~10% प्रभावित थे। 4 अक्टूबर तक सभी को BadExit flag कर हटाया गया।
शुक्रवार 2 अक्टूबर को सुबह 9:35 बजे, 333 संक्रमित exit nodes ने एक साथ SSH connections को intercept करना और unencrypted data चुराना शुरू किया। हमलावरों ने दो महीने पहले, अगस्त में ही इन servers तक पहुँच बना ली थी और Ebury 1.8.3 payload — एक OpenSSH backdoor और credential stealer — चुपचाप तैनात कर दिया था।
हमले के दो मुख्य लक्ष्य थे: unencrypted mail traffic इकट्ठा करना और SSH connections का MITM (Man-in-the-Middle) करना। Port 22 पर SSH connection करने वाले users को 12 interception servers में से किसी एक पर redirect किया जाता था। अगर user warning को नज़रअंदाज़ करके login करता, तो हमलावर उसका password चुरा लेते, उसके server पर हर command देखते और उसे भी Ebury से संक्रमित कर देते।
लेखक ने exitmap tool की मदद से एक script बनाई जो हर exit node को pin करके server A से server B तक SSH connection खोलती थी और fingerprint व connection source की जाँच करती थी। इसी तरह सभी 333 infected nodes की पहचान हुई।
शुक्रवार शाम लेखक ने Tor Project की network health team को सूचित किया। टीम ने कहा, "हमने पहले ऐसा हमला नहीं देखा।" 4 अक्टूबर को operators को सूचना दी गई, सभी relays को BadExit mark किया गया। 5 अक्टूबर तक सभी संक्रमित servers बंद हो गए। metrics.torproject.org पर 4 अक्टूबर को exit capacity में स्पष्ट गिरावट दिखती है जो अभी तक नहीं सुधरी।