暗网系列之:新兴市场管理员经验不足,大量交易站点的真实IP地址暴露

背景介绍

今年夏天,美国、俄罗斯、荷兰的执法部门撤除了暗网上排名前三的非法交易市场,之后执法人员又陆续跟踪并清除了多个活跃的暗网市场,这些暗网站点服务器由于配置不当致使服务器的真实IP泄露。在暗网环境下,泄露真实的IP地址意味着执法人员可以跟踪到具体的服务器,并进一步追查到网站的经营者及大部分用户的真实身份。

研究人员喜欢追踪暗网入口

在过去的两个月中,一个安全研究员(化名“Sh1ttyKids”)发现暗网市场中的一些网站暴露了自己真实的IP地址,其中一些是从事违法交易的站点。

例如新发现的一个名为“ElHerbolario”的商店是专门销售业务的,跟踪到与这个网站相关的两个荷兰的IP地址(188.209.52.177和185.61.138.73),使用了乌克兰知名的防弹主机提供商BlazingFast的服务。

根据这些消息,荷兰执法人员从该机器运行的数据中心获取到了服务器的信息,进一步分析数据、跟踪用户,并与世界各地的其他执法机构分享所获得的信息。

ElHerbolario站点的真实IP地址

10月底的时候,研究人员曾发现了一个意大利语的暗网社区的IP地址,这是一个黑客论坛,使用者的母语为意大利语,该暗网站点关联的真实IP地址(176.123.10.203)对应了一个位于摩尔多瓦的Web主机。研究人员把这些发现向当局做了报告。

某毒品交易市场IP和数据库信息泄露

Sh1ttyKids还追踪到一个名为“DrugStore by Stoned100”的暗网网站,这个站点是一个综合性的毒品交易市场,提供诸如安非他明、摇头丸、 MDMA,西地那非以及其他非法药物产品,甚至还提供勒索软件。

该站点上运行了一个普通的WordPress框架,配置不当,泄漏了站点的真实IP以及数据库备份文件,用户只需要通过点击就可以访问到数据库的副本。

除此之外,研究人员还定位到了一家售卖兴奋剂的暗网网站的真实IP(195.189.227.135,一个位于乌克兰的IP地址)。

数据泄露原因皆是人为过失

Sh1ttyKids 称:“真实IP地址的泄露是由于管理员的人为失误。”

这一结果令人诧异,因为市面上公开存在的就有几十种自动化安装脚本,这些脚本不仅能够自动化的安装一个可供Tor网络使用的Web服务器,还能够很容易的删除这些IP地址信息。

研究人员使用的检索这些站点的IP地址的方式并不复杂,例如利用一个洋葱网站未受保护的SSH指纹,使用Shodan 或 Censys这样的搜索引擎追查到它们对应的真实服务器和IP地址。

暗网中犯罪形势的变化

值得注意的是,Sh1ttyKids使用的技术相对而言比较简单,经验丰富的Web服务器管理员都可以逃过这种检测,但问题的关键是,这些暴露的暗网站点的管理人员似乎都是经验不足的新手。

2017年7月份,美国、荷兰和俄罗斯等国的执法机构对暗网中的非法交易市场进行了有力地打击,一些领头羊地位的暗网市场(如AlphaBay、Hansa和RAMP等)都被取缔了。这三个市场都是由经验丰富的程序员管理的,但它们被撤除之后,原来市场中的供应商的库存商品就需要寻找新的交易平台。其中有一些供应商转移到类似Dream Market、Valhalla或Wall Street这些市场上,也有一些人通过垃圾短信或垃圾邮件的渠道销售手上的产品,与此同时,也有一部分人决定在暗网中创建自己的交易平台。

由于这些新入场的站点管理员们缺乏适当的管理技巧,很容易成为像Sh1ttyKids这样的研究人员的猎物,更不用提那些对暗网中的犯罪形势时刻保持着关注的各国的执法机构和安全社区了。

暗网中,尽管网络犯罪生态系统在不断的发展,执法机构和安全社区也逐渐加大了反击的力度,未来究竟会如何发展,尚不明确。

安全建议

MottoIN专注于跟进最新的、有针对性的网络攻击活动,主要提供以下几种安全服务:

  • 及时跟踪国内外最新的APT攻击活动,熟知网络攻击的最新特征,包括攻击者使用的工具、技术和程序,为客户输出有针对性的威胁预警报告;
  • 实时监控地下论坛和暗网中的各类威胁情报,为客户提供专项的数据安全分析报告;
  • 大数据积累,智能预警分析,整合全球范围内活跃的APT组织的相关指标,考虑地缘政治风险和区域内部的各项威胁指标,为客户提供全面的风险评估报告;
  • 提供全面的安全咨询服务,根据客户的需求,提供业内最佳解决方案。

更多资料

MottoIN官网(www[.]mottoin[.]com),搜索“暗网系列”,获取更多暗网相关的安全资讯和分析报告。

原创文章,作者:猫小编,如若转载,请注明出处:http://www.mottoin.com/107128.html

发表评论

登录后才能评论

联系我们

021-62666911

在线咨询:点击这里给我发消息

邮件:root@mottoin.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code