كشفت تحقيقات أمنية حديثة عن واحدة من أبرز الحوادث التي استهدفت البنية التحتية لشبكة Tor خلال عام 2026، بعدما تمكن مهاجمون من السيطرة على أكثر من 300 عقدة خروج (Exit Relays) واستخدامها لاعتراض اتصالات SSH وسرقة بيانات اعتماد المستخدمين. وقد جرى احتواء الحادثة وإزالة العقد المصابة من الشبكة خلال أيام قليلة، إلا أن الخبراء يحذرون من أن بعض كلمات المرور ربما تعرضت للاختراق بالفعل.
كيف نُفذت العملية؟
تعتمد شبكة Tor على سلسلة من العقد التي تمر عبرها حركة المرور لإخفاء هوية المستخدم، وتُعد عقدة الخروج آخر محطة قبل وصول البيانات إلى وجهتها النهائية. واستغل المهاجمون هذه النقطة الحساسة بعد اختراق خوادم لينكس تدير عدداً كبيراً من عقد Tor، ثم قاموا بتعديل إعدادات التشغيل للسماح بمرور اتصالات SSH عبر المنفذ 22، والذي كان محظوراً في العديد من تلك العقد سابقاً.
ووفقاً للباحث الأمني المعروف باسم “kaba”، فقد أظهرت عمليات الفحص أن نحو 333 عقدة خروج كانت تعيد توجيه اتصالات SSH إلى 12 خادماً اعتراضية يسيطر عليها المهاجمون. كما أظهرت البيانات أن ما يصل إلى 377 عقدة يديرها 59 مشغلاً مختلفاً انتقلت إلى سياسة تشغيل متطابقة خلال الفترة ما بين 1 و4 أكتوبر 2026.
آلية سرقة بيانات الاعتماد
لم يعتمد الهجوم على كسر تشفير بروتوكول SSH نفسه، بل على استغلال ثقة المستخدم. فعندما كان المستخدم يحاول الاتصال بخادم عبر Tor، كان يتم توجيه الاتصال إلى خادم اعتراضي يعرض مفتاح مضيف (Host Key) مختلفاً عن المفتاح الحقيقي.
إذا تجاهل المستخدم التحذير الذي يظهره برنامج OpenSSH عند تغير مفتاح المضيف، أو قبل المفتاح لأول مرة دون التحقق منه، ثم قام بإدخال كلمة المرور، فإن هذه الكلمة كانت تصل مباشرة إلى المهاجم. بعدها يقوم الخادم الاعتراضي بإنشاء اتصال فعلي بالخادم الأصلي، ما يجعل الجلسة تبدو طبيعية للمستخدم بينما تتم مراقبة الأوامر وسرقة بيانات الاعتماد في الخلفية.
في المقابل، أوضح الباحثون أن المستخدمين الذين يعتمدون على المصادقة بالمفاتيح العامة (SSH Keys) كانوا أكثر أماناً، لأن بروتوكول SSH يربط التوقيع الرقمي بجلسة محددة، الأمر الذي يمنع المهاجم من إعادة استخدام التوقيع ضد الخادم الحقيقي.
ارتباط الحادثة ببرمجية Ebury الخبيثة
قاد التحقيق إلى اكتشاف وجود برمجية Ebury الخبيثة على بعض الخوادم المخترقة. وتُعد Ebury واحدة من أخطر البرمجيات المتخصصة في سرقة بيانات اعتماد SSH وإخفاء النشاط الخبيث داخل بيئة OpenSSH، وقد ظلت نشطة منذ عام 2009.
وأظهرت التحقيقات أن المهاجمين نجحوا في الوصول إلى خادم إدارة يستخدم كلمة مرور معاد استخدامها في أكثر من غرض، ثم حصلوا على صلاحيات الجذر (Root)، وقاموا بتثبيت Ebury واستخدامها للتوسع داخل البنية التحتية الخاصة بمشغلي العقد. وقد قدرت أبحاث سابقة أن Ebury أصابت مئات الآلاف من خوادم لينكس حول العالم على مدار السنوات الماضية.
من هم المستخدمون المعرضون للخطر؟
بحسب التحليل المنشور، فإن المستخدم لا يكون معرضاً للخطر إلا إذا تحققت عدة شروط مجتمعة:
- استخدام SSH عبر شبكة Tor بين 1 و5 أكتوبر 2026.
- مرور الاتصال عبر إحدى عقد الخروج المخترقة.
- اعتراض الاتصال بواسطة أحد الخوادم المزيفة.
- قبول مفتاح المضيف المختلف أو غير المعروف.
- استخدام كلمة مرور بدلاً من مفاتيح SSH.
ولا تتوافر حتى الآن أرقام دقيقة توضح عدد الضحايا الذين تعرضت كلمات مرورهم للسرقة.
إجراءات الاستجابة والتوصيات الأمنية
بدأ مشروع Tor بوضع إشارات تحذير على العقد المشبوهة في 4 أكتوبر، ثم استبعدها بالكامل من قائمة العقد المعتمدة بحلول 5 أكتوبر. كما انخفض عدد عقد الخروج النشطة بشكل ملحوظ خلال فترة المعالجة، بما يتوافق تقريباً مع عدد العقد المتأثرة بالهجوم.
وينصح الخبراء كل من استخدم SSH عبر Tor خلال الفترة المذكورة بما يلي:
- تغيير كلمات المرور فوراً إذا تم قبول مفتاح مضيف غير مألوف.
- مراجعة سجلات الخوادم بحثاً عن مؤشرات اختراق.
- تعطيل المصادقة بكلمات المرور والاعتماد على مفاتيح SSH فقط.
- فحص الخوادم لرصد آثار Ebury أو أي برمجيات خبيثة مشابهة.
- إعادة تثبيت الأنظمة المخترقة بالكامل بدلاً من الاكتفاء بإزالة الملفات الضارة.
- تدوير جميع بيانات الاعتماد والمفاتيح السرية التي كانت موجودة على الخادم.
