Tor 출구 노드 333개 해킹, SSH 트래픽 탈취
원제: 333 Tor exit nodes hijacked to intercept SSH traffic and retrieve plaintext email
왜 중요한가
Tor 익명 네트워크의 핵심 인프라인 출구 노드 대규모 장악은 익명성 보장 체계 자체의 신뢰성에 직접적인 영향을 미친다.
2026년 10월 2일부터 5일까지 3일간, 신원 미상의 해커들이 Tor 출구 노드 333개를 장악해 SSH 트래픽을 가로채고 평문 이메일 수집을 시도했다. 공격자는 재사용된 비밀번호로 Tor 관리 서버에 침투한 뒤 리눅스 백도어 Ebury를 설치했다.
Ars Technica가 10월 22일 보도한 바에 따르면, 이번 공격은 8월 말 Tor 관리 서버 최초 침투로 시작됐다. 공격자는 재사용된 유효한 비밀번호를 이용해 관리 서버에 접근했고, 12년 전 발견된 리눅스 백도어 'Ebury'를 설치했다. 이어 Switzerland2라는 두 번째 Tor 서버에도 RSA 키를 통해 접속해 동일한 백도어를 심었다. 단, 해당 RSA 키가 Switzerland2의 인가된 키 목록에 없었던 이유는 현재도 밝혀지지 않았다.
공격자는 두 가지 방식으로 트래픽을 조작했다. 첫째, Tor를 통한 SSH 트래픽(22번 포트)을 공격자 통제 서버 12대로 우회시켰다. SSH 호스트 키 변경 경고를 무시한 이용자가 비밀번호를 입력하면 그대로 탈취되는 구조다. Tor 자원봉사자 Kaba는 직접 해당 경고를 받았다고 밝혔다. 둘째, 출구 노드들이 암호화 이메일 관련 포트(25, 465, 587, 993, 995번)를 차단하도록 재설정했다. 이메일 서비스가 암호화 없이 연결을 재시도할 경우 평문 메시지를 수집하는 방식이었으나, 실제로 다운그레이드 공격이 성공했는지는 아직 불분명하다.
333개 출구 릴레이 전체에 대해 공격자가 어떻게 장악권을 확보했는지는 조사팀도 완전히 규명하지 못했다. Tor 프로젝트 측은 초기 관리 서버 침해와 이메일 인터셉트 시도를 부분적으로 공개했으며, 이번 보도를 통해 구체적인 숫자와 SSH 리디렉션 기법 등 상세 내용이 추가로 드러났다.