Hơn 300 Tor exit relay bị chiếm quyền điều khiển để tấn công SSH

Vào đầu tháng 10/2026, các nhà nghiên cứu an ninh mạng đã phát hiện một chiến dịch tấn công quy mô lớn nhắm vào mạng lưới Tor. Cụ thể, hơn 300 Tor exit relay đã bị kẻ tấn công chiếm quyền điều khiển để chuyển hướng các kết nối SSH tới các server độc hại, từ đó đánh cắp mật khẩu đăng nhập của người dùng.

Cơ chế tấn công

Các exit relay đóng vai trò là điểm cuối trong một mạch Tor, nơi lưu lượng truy cập rời khỏi mạng để đến đích. Kẻ tấn công đã sửa đổi cấu hình torrc của các relay này để thay đổi chính sách thoát (exit policy), cho phép cổng 22 (SSH) hoạt động trên các relay vốn trước đó đã chặn cổng này. Thậm chí, một số máy chủ không phải là exit relay cũng bị ép buộc chuyển đổi trạng thái.

Khi người dùng thực hiện kết nối SSH qua các relay bị chiếm quyền, thay vì đến đích thực sự, kết nối sẽ bị chuyển hướng tới 12 máy chủ trung gian. Tại đây, kẻ tấn công trình ra một host key giả mạo. Nếu người dùng chấp nhận key này và nhập mật khẩu, thông tin đăng nhập sẽ bị đánh cắp. Kẻ tấn công sau đó sử dụng mật khẩu này để truy cập vào server thực, theo dõi phiên làm việc và cài đặt các mã độc như Ebury – một loại backdoor khét tiếng ẩn mình trong OpenSSH.

Mối liên hệ với mã độc Ebury

Các phân tích cho thấy sự hiện diện của Ebury, một loại malware chuyên đánh cắp thông tin đăng nhập đã tồn tại từ năm 2009. Ebury có khả năng ẩn mình rất kỹ, khiến các công cụ kiểm tra gói tin thông thường như dpkg -V hay debsums không thể phát hiện. Kẻ tấn công đã tận dụng việc sử dụng lại mật khẩu và các lỗ hổng trong quản trị server để xâm nhập vào các máy chủ vận hành relay.

Khuyến nghị cho quản trị viên

Dự án Tor đã nhanh chóng gắn cờ “BadExit” cho các relay bị ảnh hưởng để loại bỏ chúng khỏi mạng lưới. Tuy nhiên, các quản trị viên vận hành relay cần thực hiện các bước kiểm tra sau:

• Kiểm tra file cấu hình torrc để tìm các thay đổi bất thường trong ExitPolicy, ContactInfo hoặc các dòng cấu hình lạ.
• Tìm kiếm các tiến trình lạ, các quy tắc NAT trên cổng 22 hoặc các file thực thi đáng ngờ như libkeyutils.so.1.10.2.
• Nếu phát hiện dấu hiệu xâm nhập: Hãy ngắt kết nối relay, sao lưu dữ liệu để phục vụ điều tra, sau đó cài đặt lại hệ điều hành hoàn toàn thay vì cố gắng xóa mã độc thủ công.
• Thay đổi toàn bộ thông tin xác thực (credentials) từng tồn tại trên các máy chủ này vì khả năng cao chúng đã bị lộ.

Người dùng Tor được khuyến cáo luôn cảnh giác với các cảnh báo thay đổi host key khi kết nối SSH. Nếu bạn đã lỡ chấp nhận một host key lạ trong khoảng thời gian từ ngày 1 đến ngày 5 tháng 10, hãy coi như mật khẩu của mình đã bị lộ và thực hiện đổi mật khẩu ngay lập tức.

Nguồn tham khảo: The Hacker News