脅威動向 2026-10-22（木）配信

攻撃者、Tor出口リレー300超を乗っ取りSSH接続を傍受

10月上旬、300を超えるTorの出口リレーが乗っ取られ、SSH接続を傍受してパスワードを窃取するサーバーにリダイレクトされる事案が発生しました。Torプロジェクトや研究者の調査により、リレーの設定書き換えやバックドアを悪用した手口が判明し、10月5日までに該当リレーはすべてネットワークから排除されました。

脅威の概要

攻撃者がTorの出口リレーを不正に乗っ取り、出口ポリシーを変更してポート22（SSH）へのトラフィックを独自の中継サーバーに誘導し、接続先のホストキーを偽装してユーザーのパスワードを窃取した事案です。一部のリレーではOpenSSH向けのバックドア「Ebury」が悪用されたことが確認されています。

主要なTTP

リレーの設定ファイル（torrc）を書き換えて出口ポリシーを変更し、ポート22を解放

SSH接続を正規の目的地から攻撃者の中継サーバーへリダイレクト

偽のホストキーを提示してユーザーに受け入れさせ、入力されたパスワードを窃取

Eburyバックドアを用いたLinuxホストへの不正アクセスと権限昇格

対象となる組織・利用者

Torネットワークを利用したリモート接続やインフラ運用を行っている組織、および公開サーバーでSSHのパスワード認証やクレデンシャル管理に懸念のある組織。

推奨される防御アクション

SSH接続時にホストキーの変更や不審な警告が表示された場合はパスワード入力を即座に中止し、認証情報を直ちにローテーションする

公開サーバーにおけるSSHのパスワード認証を無効化し、鍵認証のみに制限する

Eburyバックドアの兆候（/usr/lib/x86_64-linux-gnu/libkeyutils.so.1.10.2 や不審なプロセスなど）がないかシステムを確認する

出典：https://thehackernews.com/2026/10/attackers-hijacked-over-300-tor-exit.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →