اختراق واسع لعقد خروج تور يكشف حركة SSH والبريد الإلكتروني للاعتراض

استولى مهاجمون مجهولون على 333 عقدة خروج تور خلال نافذة مدتها ثلاثة أيام في أوائل أكتوبر، وأعادوا تكوينها لتحويل جلسات SSH إلى اثني عشر مضيف اعتراض تديره المجموعة المهاجمة، وحجبوا منافذ البريد الإلكتروني المشفرة مع إبقاء القنوات النصية الواضحة مفتوحة. بدأ الهجوم بإعادة استخدام بيانات اعتماد على خادم إدارة تور، تلاها نشر الباب الخلفي Ebury لنظام Linux المكتشف منذ عقد، ثم الانتقال الجانبي إلى عقدة ترحيل ثانوية تسمى Switzerland2 عبر مفتاح SSH لم يتمكن المحققون من العثور عليه في ملف authorized_keys.

كيف تطور الاختراق

باستخدام الوصول الإداري إلى Switzerland2، عدل المشغلون سياسات الخروج على عقدتي ترحيل مستضافتين، ومددوا التكوين الخبيث في النهاية إلى جميع العقد الـ 333. تم تمرير حركة SSH التي تدخل شبكة تور بصمت إلى مزرعة الاعتراض؛ المستخدمون الذين تجاهلوا تحذير تغيير مفتاح المضيف سلموا بيانات الاعتماد دون قصد. في الوقت نفسه، تم إسقاط المنافذ 25 و 465 و 587 و 993 و 995 — المستخدمة لـ SMTP و IMAP و POP عبر TLS — بينما ظلت المكافئات غير المشفرة قابلة للوصول، مما خلق متجه تخفيض مستوى الحماية لاعتراض البريد الإلكتروني.

تم اكتشاف الاختراق عندما واجه متطوع تور، المعروف باسم Kaba، عدم تطابق مفتاح مضيف SSH في 4 أكتوبر. البصمة SHA256:6baCZCPsl+ لم تطابق الوجهة المتوقعة، مما أطلق تحذير OpenSSH القياسي. الإبلاغ السريع من مجتمع تور حد من نافذة التعرض إلى حوالي 72 ساعة، رغم أن المدى الكامل لحصاد بيانات الاعتماد أو الرسائل لا يزال غير معروف.

لماذا هذا مهم للبنية التحتية للـ GPU والذكاء الاصطناعي

المؤسسات التي توجه مهام تدريب النماذج، ونقل مجموعات البيانات، أو جلسات SSH الإدارية عبر شبكات إخفاء الهوية يجب أن تعامل سلامة عقد الخروج كجزء من نموذج تهديد سلسلة التوريد. يمكن لعقدة خروج مخترقة أن تقوض ضمانات التشفير، وتكشف مفاتيح API، وتحقن حمولات خبيثة في صور الحاويات المسحوبة عبر تور. بيئات سحابة GPU المقواة والمدققة — مثل تلك التي تديرها AiGpu — تلغي الاعتماد على طبقات إخفاء الهوية التي يديرها متطوعون للأعباء الحساسة، وتوفر ترابطات مخصصة ومشفرة وأصلاً موثقاً لسلسلة التوريد لأجهزة وبرمجيات الذكاء الاصطناعي.