2026년 10월 2일 금요일 오전 9시 35분, 토르 네트워크의 333개 익명 노드가 조직적인 SSH 연결 탈취 캠페인을 시작했다. 전체 토르 네트워크가 약 3000개의 익명 중계기를 운영한다는 점을 고려하면, 이 중 10%가 공격자의 통제하에 놓인 셈이다.
공격자들은 두 달 전인 8월에 서버 접근 권한을 확보한 뒤, Linux용 OpenSSH 백도어이자 자격 증명 탈취 도구인 Ebury 1.8.3 페이로드를 조용히 배포했다. 이번 공격은 크게 두 가지 목적을 가졌다. 하나는 암호화되지 않은 메일 트래픽을 최대한 수집하는 것이었고, 다른 하나는 SSH 연결을 중간자 공격 방식으로 가로채는 것이었다.
특정 포트를 차단함으로써 공격자들은 자신의 노드들이 암호화되지 않은 메일 트래픽만 처리하도록 유도했다. SSH 연결의 경우, 사용자가 Port 22로 접속을 시도하면 모르게 12개의 SSH 가로채기 서버 중 하나로 리디렉션되었다. 웹 트래픽처럼 보이는 암호화된 데이터는 정상적으로 전달되었지만, SSH 로그인 시에는 호스트 키 불일치 경고가 표시되었다.
보안 연구자는 exitmap이라는 도구를 활용해 약 3000개의 모든 익명 중계기를 테스트했다. 그 결과, 수십 개가 가짜 지문을 제공하거나 동일한 가로채기 서버로 리디렉션하고 있음을 확인했다. 연구자는 10월 2일 저녁 토르 프로젝트의 네트워크 건강팀에 이러한 발견 사항을 연락했다.
토르 네트워크 건강팀은 이것이 이전에 본 적 없는 새로운 유형의 공격임을 확인하고, 영향을 받은 중계기 운영자들에게 즉시 연락을 취하기 시작했다. 10월 4일 일요일, 건강팀은 해당 중계기들을 BadExit 상태로 공식 분류하여 네트워크에서 격리 조치를 내렸다. 이어 10월 5일까지 감염된 서버들이 모두 완전히 종료되면서 공격 인프라는 해체되었다.
Marc-Etienne M. Léveillé의 이메일 자료에 따르면, 2009년부터 2023년 사이에 약 40만 대의 서버가 Ebury에 감염된 것으로 추정된다. 이는 아직 탐지되지 않은 추가적인 토르 중계기 감염 가능성이 존재함을 시사한다.
호스팅 공급업체의 관리 서버가 침해되어 고객 VPS 인스턴스에까지 악성 코드가 퍼진 사례도 과거에 식별된 바 있다.
이번 사건은 SSH 인증 방식의 취약점을 재조명했다. 공개키 기반 인증을 사용했다면 비밀번호 탈취 자체는 방지할 수 있었으나, MITM 세션을 통한 명령어 관찰 및 서버 감염 위험은 여전히 남아 있었다. 공격자가 이메일 수집에만 집중했다면 더 오래 활동했을 것이라는 분석도 커뮤니티 내에서 제기되었다.