Obteniendo acceso
Para comenzar, una red oscura es una red (a menudo encriptada) que se superpone a Internet pero requiere un software especializado para acceder a ella. El cliente Tor, suministrado dentro del paquete del navegador Tor, se conectará a la red Tor y dirigirá el tráfico a través de un triplete de nodos: entryNode - > relayNode - > exitNode. Los tres nodos cifrarán los datos transmitidos con sus claves públicas en el orden:
- (entryNodePublicKey (relayNodePublicKey (exitNodePublicKey (data)))
A menos que tenga un spyware cargado en las computadoras host para las "personas importantes", solo verá la dirección IP del nodo de entrada y el tráfico cifrado. Usando esta dirección IP, puede confirmar que pertenece a la red Tor, como nodo de inducción o nodo de protección.
Debido a que Tor se implementa para activistas políticos, denunciantes, disidentes oprimidos, etc ... tiene herramientas integradas para eludir la censura, los puentes OBFS4 se encuentran entre algunos métodos comunes, pero otro está utilizando puentes mansos. Los puentes de Meek se aprovechan de AWS y Azure para el dominio del dominio, lo que hará que el Nodo de entrada Tor al realizar el DPI aparezca como una conexión HTTPS amazon.com o microsoft.com; tráfico normal Este método se implementa para eludir el Gran Cortafuegos de China.
Igualmente, otros métodos para ocultar la conexión de entryNode incluyen, pero no se limitan a:
- OpenVPN utilizando el cifrado AES: la mayoría de las VPN modernas
- Proxy: HTTP, HTTPS y SOCKS
- RDP (o cualquier otro protocolo de acceso remoto, preferiblemente encriptado)
La idea de RDP implicará conectarse a una computadora remota y usarla para acceder a la web oscura, con o sin la protección de VPN (s) o proxy (s).
La mención sobre eludir la censura tiene relevancia, ya que las divulgaciones de Vault 7 describieron el malware de la CIA utilizarían los centros de datos como redes de bots y preferirían realizar cualquier conexión a través de HTTPS (con sistemas de cifrado modernos) en el puerto 443. revisado por un administrador del sistema.
Con esta información en mente, ahora debemos considerar, sin grandes detalles, los metadatos y el "ruido" que hizo el atacante al obtener la información confidencial. Las preguntas incluyen:
- ¿Dejaron registros y metadatos relacionados con la violación?
- ¿Utilizaron el acceso de otra persona para acceder a la información confidencial o utilizaron un exploit de día cero?
- ¿Los registros de direcciones IP pertenecen a direcciones IP residenciales o redes anónimas reconocidas?
Ahora hemos adquirido conocimiento de cuándo se robó la información confidencial. Entonces, ahora podemos ver si el atacante tenía vulnerabilidades dentro de su OpSec que podemos usar para desasignarlas.
Vendiendo la información
Esta sería su segunda (y última) oportunidad de identificar al atacante. Esto tampoco puede ser posible, ya que implica rastrear el método de pago, que también podría emplear el lavado de dinero.
Esta información confidencial es ahora un activo para el ataque. Suponiendo que su objetivo es beneficiarse del ataque, venderemos la información a un comprador. Un mercado web oscuro sería un buen comienzo. Aunque, podrían haber sido contratados por un grupo rico para realizar el ataque. Por lo tanto, la información se venderá a través de cualquiera de los dos métodos:
- Dark web marketplace
- Subasta cerrada (privada)
El momento para vender esta información dependerá de la naturaleza de la infracción. La propiedad intelectual con patentes no necesitaría una ventana de venta crítica, mientras que una base de datos de hashes de contraseñas debería venderse lo antes posible antes de que se cambien las contraseñas.
El pago sería tu oportunidad de rastrear al atacante. El pago podría cubrir varias formas:
- Cuenta (s) bancaria (s) de Drop
- PayPal
- Tarjeta (s) de crédito / débito
- Criptomonedas
No puedo desarrollar mucho más aquí, ya que lavado de dinero es su propio tema y puede ser muy amplio. Puedo afirmar que, cuanto más judicativas sean las direcciones IP y la cobertura de pago, más incómodo y menos probable será que identifique al atacante.