333 Tor çıkış düğümü SSH tuzağına döndü: Görmezden geldiğimiz uyarı nasıl bir saldırının kapısı oldu?

Ne oldu?

Tor, trafiğini birkaç gönüllü sunucudan geçirerek kim olduğunu gizleyen bir ağ. Trafiğin internete çıktığı son sunucuya çıkış düğümü (exit relay) deniyor. Ağda yaklaşık 3.000 tane var.

2 Ekim 2026 Cuma sabahı bunlardan 333’ü, yani kabaca onda biri, aynı anda harekete geçti. Normal HTTPS trafiğine dokunmadılar, o yüzden kimse bir şey fark etmedi. Ama 22. porttan giden SSH bağlantılarını sessizce saldırganın 12 ara sunucusundan birine yönlendirdiler. Bazı düğümler ayrıca şifresiz e-posta trafiğini (POP3/IMAP) toplamaya ayarlanmıştı.

Sunucuların kendisi Ağustos’ta ele geçirilmişti. Saldırganlar Tor’un yapılandırma dosyasını (torrc) değiştirip bazı ara düğümleri çıkış düğümüne bile çevirmişti. Tor Projesi’nin 5 Ekim’deki duyurusuna göre sorun Tor yazılımında değil, hacklenmiş Linux sunucularında.

Saldırı nasıl işliyordu?

SSH ilk bağlandığında sunucunun host key denen açık anahtarını ~/.ssh/known_hosts dosyasına kaydeder. Sonraki bağlantılarda anahtar değişmişse o kocaman uyarıyı basar: “WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!” Buna “ilk kullanımda güven” (TOFU) modeli deniyor. Arada biri araya girerse elinde senin sunucunun gizli anahtarı yoktur, o yüzden farklı bir anahtar göstermek zorunda kalır.

Saldırının bütün yükü de bu uyarıya dayanıyordu. Uyarıyı geçip parolayla giriş yapan biri için ara sunucu üç şey yapıyordu:

1. Parolayı kaydediyordu.
2. Gerçek sunucuya bağlanıp yazdığın her komutu iletiyor ve izliyordu. Senin açından her şey normal çalışıyordu.
3. Aynı parolayla ikinci bir bağlantı açıp sunucuna Ebury kurmaya çalışıyordu.

Ebury, ESET’e göre 2009’dan beri yaklaşık 400.000 Linux sunucuya bulaşmış bir OpenSSH arka kapısı ve parola hırsızı. Yani her yeni kurban, bir sonraki saldırının malzemesi oluyordu.

Nasıl yakalandı?

kaba takma adlı bir geliştirici o sabah Tor üzerinden bağlanırken uyarıyı gördü ve geçmek yerine araştırdı. Tor Projesi’nin kötü niyetli çıkış düğümlerini taramak için geliştirdiği exitmap aracıyla bir betik yazdı. Betik her çıkış düğümünü tek tek seçip kendi iki sunucusu arasında SSH bağlantısı kuruyordu. Bir taraf gelen anahtarın doğru olup olmadığına, diğer taraf bağlantının gerçekten o düğümden mi yoksa 12 ara sunucudan birinden mi geldiğine bakıyordu.

Sonuç: Yaklaşık bir düzine düğüm açıkça sahte anahtar gösterdi. 300’den fazlası ise anahtarı değiştirmeden bağlantıyı aynı ara sunuculardan geçiriyordu. kaba aynı akşam Tor’un ağ sağlığı ekibine haber verdi. 4 Ekim’de düğümler BadExit olarak işaretlendi, yani istemciler artık onları çıkış olarak seçmiyor. 5 Ekim’de hepsi ağdan düşmüştü. Saldırının sahibi ve sunuculara nasıl girildiği hâlâ bilinmiyor.

Senin yapman gereken

• Host key uyarısını asla refleksle geçme. Sunucuyu yeniden kurmadıysan ya da anahtarı değiştirmediysen, bu uyarı tam da göründüğü şey olabilir. Parmak izini başka bir kanaldan (bulut panelinden, sunucu konsolundan) kontrol et.
• SSH’de parolayla girişi kapat, anahtar kullan (PasswordAuthentication no). Bu saldırı doğrudan parolaları hedefliyordu.
• Bu pencerede Tor üzerinden SSH ile parolayla bağlandıysan o parolayı değiştir ve sunucunu Ebury izleri için incele.
• Tor düğümü işletiyorsan, Tor Projesi’nin listesindeki kontrolleri yap: torrc’deki çıkış politikası, 22. portu yönlendiren NAT kuralları, yeni kullanıcılar ve cron işleri. Ele geçirildiyse temizlemeye çalışma, yeniden kur ve bütün kimlik bilgilerini değiştir.

Bu ayın bir başka güven zinciri hikâyesi için eMudhra yazısına bakabilirsin: Orada tarayıcıların otomatik kontrolleri işe yaradı, burada ise son kontrol noktası insandı.

Düşün

• Son gördüğün host key uyarısında ne yaptın? Neden değiştiğini biliyor muydun?
• Sunucularına parolayla giriş hâlâ açık mı? Kapatmanın önündeki gerçek engel ne?

Kendi cümlelerimizle yazılmış bir özettir, çeviri değildir. Tüm kaynaklar yukarıda.