Tor出口ノード333個を除去した方法
原題: How I got over 300 Tor exit nodes removed
なぜ重要か
Tor全出口リレーの約10%が一斉に制御される攻撃は前例がなく、匿名化ネットワークの信頼性と安全モデルそのものへの問いかけとなる。
2026年10月2日午前9時35分、333個のTor出口ノードが一斉にSSH接続の傍受を開始した。全出口リレー約3000個のうち約10%が攻撃者の制御下に置かれた。攻撃者は2ヶ月前の8月にサーバへのアクセスを取得し、OpenSSHバックドア「Ebury 1.8.3」を静かに展開していた。発見者は独自の検証ツールで感染ノードを特定し、Torプロジェクトに報告。同月5日までに全感染サーバが停止した。
攻撃は二つの目的を持っていた。一つは暗号化されていないメールトラフィックの収集、もう一つはSSH接続へのMITM（中間者攻撃）だ。感染した出口ノードは特定のポートをブロックし、ポート22のSSH接続を12台の傍受サーバへ密かにリダイレクトしていた。暗号化されたWebトラフィックは通常通り転送されるため、被害者はすぐには気づかない。
SSH接続を傍受された場合、攻撃者は三つの動作を実行した。パスワードの窃取、接続先サーバへのMITMによるコマンド監視、そして接続先サーバへのEburyの感染だ。
発見者は「exitmap」を利用した独自スクリプトを構築し、出口ノードを一つずつ固定してサーバ間のSSH接続を確認。接続元が正規の出口ノードではなく傍受サーバのIPであることを検証することで、感染ノードを網羅的に特定した。
10月2日（金）夜、発見者はTorプロジェクトのネットワーク健全性チームに報告。チームは「このような攻撃は過去に見たことがない」と述べ、すぐにリレー運営者への通知を開始した。10月4日（日）に運営者が出口ノードを停止し始め、同日中に該当リレーは「BadExit」フラグを付与されてクライアントが使用できない状態となった。攻撃者は10月5日（月）に多くのリレーを再起動したが、既にフラグが付いていたため中間リレーとしてしか機能できなかった。同日、全感染サーバが運営者と攻撃者双方によって停止された。
Torプロジェクトによると、攻撃者はLinuxホストへのアクセスを取得後、非出口リレーの設定ファイル「torrc」を改ざんして出口リレーに切り替えるという手法を取っていた。metrics.torproject.orgでは10月4日に出口ノード数の明確な減少が確認できており、記事執筆時点で回復していない。