300 Node Tor Terinfeksi Dihapus Usai Serangan MITM
Judul asli: How I got over 300 Tor exit nodes removed
Mengapa Ini Penting
Serangan ini menunjukkan kerentanan nyata pada infrastruktur anonimitas Tor yang digunakan jutaan orang.
Pada 2 Oktober 2026, 333 exit node Tor yang terinfeksi malware Ebury mulai mencegat koneksi SSH dan mencuri kredensial pengguna selama tiga hari sebelum ditindak.
Serangan dimulai pukul 09:35 pagi tanggal 2 Oktober, ketika 333 exit node yang telah disusupi sejak Agustus 2026 melancarkan kampanye terkoordinasi. Para penyerang menanamkan backdoor Ebury 1.8.3 — varian OpenSSH yang dikenal sebagai pencuri kredensial di Linux — dua bulan sebelum serangan aktif dimulai. Dengan 333 dari sekitar 3.000 exit relay Tor, penyerang menguasai sekitar 10% kapasitas keluar jaringan tersebut.
Ada dua target utama: mencuri lalu lintas email yang tidak terenkripsi, dan melakukan serangan man-in-the-middle (MITM) pada koneksi SSH melalui Port 22. Jika pengguna terhubung melalui salah satu node yang terinfeksi, koneksi SSH mereka diam-diam dialihkan ke salah satu dari 12 server intersepsi. Penyerang kemudian mencuri kata sandi, memantau setiap perintah yang diketik, sekaligus menginfeksi server target dengan Ebury.
Penulis artikel, yang juga menjadi korban, mendeteksi pola ini menggunakan alat exitmap. Ia membuat skrip yang menyematkan satu exit node, lalu membuka koneksi SSH antar dua servernya sendiri untuk memeriksa apakah fingerprint SSH yang diterima valid dan apakah koneksi berasal dari node yang benar. Skrip ini dijalankan terhadap seluruh daftar exit node.
Hasilnya dilaporkan ke tim Network Health Tor Project pada Jumat malam. Tim tersebut menyatakan belum pernah melihat serangan serupa sebelumnya. Pada Minggu 4 Oktober, node-node yang bermasalah ditandai sebagai BadExit sehingga klien tidak lagi merutekan trafik melalui mereka. Pada Senin 5 Oktober, semua server yang terinfeksi berhasil dimatikan.