Tor Çıkış Röleleri SSH'yi Yönlendirdi: 333 Röle, Ebury ve Host Anahtarı Uyarısı 10-22-2026, 08:19 AM
Selamlar,
Tor üzerinden SSH yapanlar için Ekim 2026'nın en kritik ağı olayı: Araştırmacı kaba (kaba.cx) 2 Ekim'de Tor'un yaklaşık 3000 çıkış rölesinden 333'ünün (kabaca %10) SSH trafiğini 12 adet ara sunucuya yönlendirdiğini tespit etti. Röleler Ağustos'ta ele geçirilmiş ve Ebury 1.8.3 (Linux için OpenSSH arka kapısı) yerleştirilmişti. Tor Network Health ekibi 4 Ekim'de röleleri BadExit olarak işaretledi; 5 Ekim'de enfekte sunucular kapatıldı.
Konuda anlatılacaklar
- Saldırı nasıl çalışıyordu?
- Araştırmacı nasıl buldu?
- Zaman çizelgesi
- SSH kullanıcıları için pratik dersler
Saldırı nasıl çalışıyordu?
kaba'nın yazısına göre saldırının iki hedefi vardı: şifrelenmemiş posta trafiğini toplamak ve SSH bağlantılarını MITM ile dinlemek. Belirli portları engelleyerek çıkış rölelerini yalnızca şifrelenmemiş posta trafiğine yönlendirdiler. SSH tarafında ise port 22'ye giden bağlantı, kullanıcının fark etmeyeceği şekilde 12 ara sunucudan birine yönlendiriliyordu. Şifreli web trafiği normal iletiliyordu.
Araştırmacı kendi bağlantısı yönlendirildiğinde klasik OpenSSH uyarısını gördü:
Kod:
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!Nasıl bulundu?
Araştırmacı exitmap ile her çıkış rölesini sabitleyip kendi sunucu A'sından sunucu B'sine SSH açtı. A, B'nin beklenen parmak izini alıp almadığını; B ise bağlantının sabitlediği çıkıştan mı yoksa 12 ara sunucudan mı geldiğini kontrol etti. Yaklaşık bir düzine röle sahte parmak izi verdi; 300'den fazlası ise aynı ara sunucular üzerinden yönlendirdi. Yönlendirme tek başına enfeksiyon kanıtı sayıldı.
Honeypot (sshesame) ile yapılan ek analizde MITM tarafının paramiko (Python SSH kütüphanesi) kullandığı ve Ebury'yi Perl ile, base64 kodlu bir komut üzerinden yüklemeye çalıştığı görüldü.
Zaman çizelgesi
- Ağustos: Röle sunucularına erişim ve Ebury 1.8.3 yerleşimi
- 2 Ekim Cuma: 333 çıkış rölesinde eşgüdümlü yönlendirme başlıyor
- 2 Ekim akşamı: Araştırmacı Tor Network Health'e bildiriyor
- 4 Ekim: Operatörlere duyuru, BadExit işaretleme, kapatmalar başlıyor
- 5 Ekim: Saldırganlar birçok röleyi yeniden başlatıyor ama BadExit olduğu için yalnızca orta (middle) röle olarak kalıyorlar; enfekte sunucular kapatılıyor
SSH kullanıcıları için pratik dersler
- Host anahtarı uyarısını asla yok saymayın. "Someone could be eavesdropping" cümlesi burada edebiyat değil, gerçek MITM'i tarif ediyor.
- Parola kimlik doğrulamayı kapatın. Saldırı, parolasız (anahtar tabanlı) ve host anahtarını doğrulayan kullanıcılara karşı işe yaramıyordu.
- 1-5 Ekim arası Tor üzerinden parola ile SSH yaptıysanız o parolayı değiştirin, sunucudaki yetkili anahtarları ve giriş kayıtlarını gözden geçirin.
- StrictHostKeyChecking=yes ve bilinen host anahtarlarını bir güvenli kanaldan (ör. yönetici paneli, out-of-band) doğrulayın.
Kod:
# Kendi istemcinizde (OpenSSH) - parola kimlik doğrulamayı kapat
# ~/.ssh/config örneği
Host *
PasswordAuthentication no
PubkeyAuthentication yes
StrictHostKeyChecking yes
UpdateHostKeys yes
# Host anahtarını out-of-band doğrulama
ssh-keyscan -t ed25519 hedef.ornek 2>/dev/null | ssh-keygen -lf -Açık sorular
Araştırmacı, saldırganların bu kadar çok sunucuya ilk erişimi nasıl kazandığını ve arkasında kimlerin olduğunu henüz bilinmeyen noktalar olarak bırakıyor. Tor listelerinde barındırma firmasının ele geçirilmiş olabileceği spekülasyonu dolaşıyor; bu henüz kanıtlanmış bir gerçek değil. Sonuç net: Tor çıkışları "güvenilir proxy" değil; uçtan uca kimlik doğrulama (SSH anahtarı + host anahtarı doğrulama) olmadan geçen her parola risk altındadır.
Tor üzerinden yönetim yapan var mı aranızda? Host anahtarı değişikliği yaşadınız mı?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar