Deep Web und Cybercrime

Transkript

1 Deep Web und Cybercrime Nicht allein TOR Autor: Vincenzo Ciancaglini, Marco Balduzzi, Max Goncharov, und Robert McArdle Forward-Looking Threat Research Team

2 Inhaltsverzeichnis Zusammenfassung...3 Einführung...3 Überblick über vorhandene Deep Web-Netzwerke...5 TOR...5 I2P...6 Freenet...7 Alternative Domain Roots...7 Cyberkriminalität im TOR-Netzwerk...9 TOR-Marktplatz ein Überblick...9 Private Angebote in TOR...14 Vergleich mit den russischen Untergrundmarktplätzen...16 Überwachung des Deep Web...18 Weitere Forschung zum Thema...19 Schlussfolgerung...20 HAFTUNGSAUSSCHLUSS Die in diesem Dokument bereitgestellten Informationen sind lediglich allgemeiner Natur und für Aufklärungszwecke gedacht. Sie stellen keine Rechtsberatung dar und sind nicht als solche auszulegen. Die in diesem Dokument bereitgestellten Informationen finden womöglich nicht auf alle Sachverhalte Anwendung und spiegeln womöglich nicht die jüngsten Sachverhalte wider. Die Inhalte in diesem Dokument sind ohne eine Rechtsberatung auf der Grundlage der vorgestellten besonderen Fakten und Umstände nicht als verlässlich oder als Handlungsanweisungen zu verstehen und nicht in anderer Weise auszulegen. Trend Micro behält sich das Recht vor, die Inhalte dieses Dokuments zu jeder Zeit und ohne Vorankündigung zu ändern. Übersetzungen in andere Sprachen sind ausschließlich als Unter stützung gedacht. Die Genauigkeit der Übersetzung wird weder garan tiert noch stillschweigend zugesichert. Bei Fragen zur Genauigkeit einer Übersetzung lesen Sie bitte in der offiziellen Fassung des Dokuments in der Ursprungssprache nach. Diskrepanzen oder Abweichungen in der übersetzten Fassung sind nicht bindend und haben im Hinblick auf Compliance oder Durchsetzung keine Rechtswirkung. Trend Micro bemüht sich in diesem Dokument im angemessenen Um fang um die Bereitstellung genauer und aktueller Informationen, über nimmt jedoch hinsichtlich Genauigkeit, Aktualität und Voll ständigkeit keine Haftung und macht diesbezüglich keine Zusicherungen. Sie erklären Ihr Einverständnis, dass Sie dieses Dokument und seine Inhalte auf eigene Gefahr nutzen und sich darauf berufen. Trend Micro übernimmt keine Gewährleistung, weder ausdrücklich noch still schweigend. Weder Trend Micro noch Dritte, die an der Konzeption, Erstellung oder Bereitstellung dieses Dokuments beteiligt waren, haften für Folgeschäden oder Verluste, insbesondere direkte, indirekte, besondere oder Nebenschäden, entgangenen Gewinn oder besondere Schäden, die sich aus dem Zugriff auf, der Verwendung oder Un möglichkeit der Verwendung oder in Zusammenhang mit der Verwendung dieses Dokuments oder aus Fehlern und Auslassungen im Inhalt ergeben. Die Verwendung dieser Informationen stellt die Zustimmung zur Nutzung in der vorliegenden Form dar.

3 Zusammenfassung Der Begriff Deep Web bezeichnet eine Klasse von Inhalten im Internet, die aus verschiedenen technischen Gründen von den Suchmaschinen nicht indiziert wird. Das nutzen böswillige Akteure aus. Eine ihrer effizientesten Strategien, die Crawler der Suchmaschinen zu umgehen, ist die Nutzung so genannter Darknets. Dies ist eine Klasse von Netzwerken, die darauf ausgerichtet ist, einen anonymen und nicht nachvollziehbaren Zugriff auf Webinhalte zu gewährleisten. Das Deep Web wird häufig ausschließlich mit The Onion Router (TOR) in Verbindung gebracht, doch gibt es weitere Netzwerke, die Anonymität und Verschleierung gewährleisten können. Zu den bekanntesten zählen Darknets (TOR, I2P und Freenet) und alternative Top Level Domains (TLDs), auch betrügerische TLDs genannt. Die Sicherheitsforscher von Trend Micro haben analysiert, wie bösartige Akteure diese Netzwerke für den Austausch von Gütern nutzen. Auch hat das Team die vorhandenen Marktplätze im Deep Web und die dort feilgebotenen Waren untersucht. Aufgrund der großen Vielfalt der verfügbaren Waren konzentrierten sich die Forscher auf diejenigen, die bei den Cyberkriminellen auf das größte Interessse stoßen. Sie verglichen deren Preise mit denen in traditionellen Marktplätzen, vor allem den russischen Internet-Untergrundforen. Schließlich zeigen die Sicherheitsforscher einige Techniken auf, die für ein proaktives Monitoring dieser verborgenen Teile des Internets angewendet werden können. Einleitung Der Begriff Deep Web wird seit einigen Jahren für Internet-Inhalte verwendet, die von Suchmaschinen nicht aufgefunden werden können. Dazu gehören Dynamische Webseiten: Seiten, die als Folge einer http-anfrage dynamisch generiert werden. Blockierte Sites: Sites, die einen Crawler explizit daran hindern, darauf zuzugreifen und Inhalte mit CAPTCHAs, Pragma No-Cache http-header oder ROBOTS.TXT-Einträgen zu entnehmen. Nicht verbundene Sites: Seiten, die mit keiner weiteren Seite verlinkt sind, und dadurch Crawler möglicherweise daran hindern sie zu erreichen. Private Sites: Seiten, für deren Zugang eine Registrierung oder Anmeldung/ Passwortauthentifizierung erforderlich ist. Nicht-HTML/Kontextuelle/Scripted Inhalte: Inhalte, die in einem anderen Format codiert sind und auf die mit Javascript oder Flash zugegriffen wird, oder die kontextabhängig sind (z.b. ein bestimmter IP-Bereich oder History-Eintrag). Netzwerke mit eingeschränktem Zugang: Inhalte auf Webseiten, die nicht aus der öffentlichen Internetinfrastruktur zugänglich sind. 3

4 Der letzte Punkt weist zwei Arten der Einschränkung auf, die zwei unabhängige Kategorien darstellen: Sites, deren Domänenname in einer anderen Domain Name System (DNS)-Root (z.b. betrügerische TLDs) registriert sind. Dies sind Webseiten, deren Host-Namen über einen von der Internet Corporation für Assigned Names and Numbers (ICANN)-unabhängigen Registrar angemeldet wurden. 1 Standard-Domänennamen folgen einer Namenshierarchie, die von der ICANN koordiniert wird. Die Institution ist für die Definition von Standard-TLDs zuständig (z.b..com,.edu,.gov, etc.) und auch für die Koordination der Zuweisung von Domänennamen. Standard- DNS werden der von der ICANN festgelegten Namenshierarchie gemäß synchronisiert und können alle Domänennamen innerhalb des ICANN-Bereichs auflösen. Es lassen sich aber auch Verbindungen zu bestimmten DNS-Servern herstellen, die zusätzliche Namespaces verwalten, die die ICANN nicht anerkennt. So können Domänennamen registriert werden, die nicht den ICANN-Regeln folgen, etwa eine Nicht- Standard-TLD. Die Auflösung dieser Domänennamen erfordert einen bestimmten DNS- Server, dessen Einsatz einige Vorteile bieten kann, etwa eine einfache und manchmal nicht nachzuvollziehende Möglichkeit, neue Domänennamen zu registrieren. Darknets und alternative Routing-Infrastrukturen: Sites, die in einer Infrastruktur gehostet werden, die eine bestimmte Software benötigt, um den Content Provider zu erreichen. Beispiele solcher Systeme sind TORs verborgene Dienste oder Sites, die im Invisible Internet Project (I2P)-Netzwerk gehostet werden. Diese Sites werden im Allgemeinen auch von einem Nicht-Standard-Domänennamen identifiziert, der den Einsatz derselben Software erforderlich macht, um für einen zu routenden Endpunkt aufgelöst zu werden. Dass diese Sites von Crawlern nicht erfasst werden, ist nicht technischen Einschränkungen gechuldet. Crawler können einen alternativen DNS-Namen auflösen, indem sie Verbindung zu einem der spezifischen, öffentlich zugänglichen DNS-Server aufnehmen. Die TOR- und I2P- Software agieren als SOCKS-Proxy, sodass ein Crawler auf die Inhalte zugreifen kann. Der einzige Informationsabfluss aus Darknets an Suchmaschinen geschieht nur über Gateway-Services wie tor2web. Der Dienst bietet eine Clearnet-Domäne, über die ein direkter Zugriff auf Inhalte möglich ist, die in verborgenen Diensten gehostet werden

5 Überblick über vorhandene Deep Web-Netzwerke Drei Hauptnetzwerke werden heutzutage dafür genutzt, Anonymität sowohl auf Client- als auch auf Serverseite zu gewährleisten -- TOR, I2P und Freenet. Die letzteren beiden sind nicht so beliebt wie TOR, doch sie bieten nützliche technische Funktionen, die sie in nächster Zeit zu gangbaren Alternativen reifen lassen, etwa falls das TOR-Netzwerk für Nutzer zu unsicher wird. 3 TOR Das TOR-Netzwerk wurde 2002 vom US Naval Research Laboratory entwickelt. Es ermöglicht anonyme Kommunikation, indem es ein Netzwerk aus freiwilligen Knoten (derzeit mehr als 3.000) nutzt, die für das Routing verschlüsselter Anfragen zuständig sind. So kann der Verkehr vor Netzwerküberwachungs-Tools versteckt werden. 4 Um das TOR-Netzwerk zu nutzen, muss ein Anwender Software installieren, die als SOCKS-Proxy agiert. Die TOR-Software versteckt die Kommunikation auf einem Server im Internet, indem sie eine Reihe von zufälligen Relay-Knoten wählt, um einen Kreislauf zu erzeugen. Alle Anfragen werden mit einem öffentlichen Schlüssel jedes gewählten Knotens rekursiv verschlüsselt, bevor sie ins Netzwerk kommen. Wenn sie dann von Relay zu Relay weitergeleitet werden, so wird nacheinander jede Verschlüsselungsschicht für den nächsten Relay aufgelöst, bis ein Exit-Knoten erreicht ist und die entschlüsselte Anfrage ihr Ziel erreicht hat. Dieser mehrschichtige Verschlüsselungsmechanismus bietet folgende Vorteile: Ein Server, der eine Anfrage vom TOR-Netzwerk erhält, betrachtet diese als einen Request, der vom letzten Knoten im TOR-Kreislauf ausgegeben wurde (das ist der Exit-Knoten). Es gibt keine einfache Möglichkeit, die Anfrage zu ihrem Ursprung zurückzuverfolgen. Jeder Knoten innerhalb des Kreislaufs kennt nur den vorausgegangenen und den nächsten Knoten, kann aber den Inhalt nicht entziffern und auch nicht dessen letztes Ziel finden. Der einzige TOR-Knoten, der die entschlüsselte Anfrage sehen kann, ist der Exit- Knoten, doch auch dieser kennt den Ursprung der Anfrage nicht, sondern nur den vorletzten Knoten. 3 and-takedown-linked-to-tor-privacy-compromise/

6 In neueren Versionen des TOR-Protokolls gibt es eine Funktionalität, die es ermöglicht, ganze Sites auf TOR-Knoten zu hosten und sie damit unsichtbar zu machen. Die Dienste, die im TOR-Netzwerk laufen, werden als verborgene Services bezeichnet. Bei diesem Ansatz werden die Kontaktinformationen für den Zugriff auf einen verborgenen Dienst in Form eines Rendezvous-Knotens gespeichert, der als Mittler fungiert, und ein Verschlüsselungs-Key in einer Distributed Hash Table (DHT) kommt hinzu. Die DHT ist eine Form von verteiltem DNS, die einen.onion-hostnamen in die benötigte Kontaktinformation umwandelt. In diesem Fall wird sowohl die Client- als auch die Server-IP-Adresse vor Dritten versteckt, die etwa versuchen, den Verkehr zu analysieren oder zu blockieren. Die tatsächlichen Standorte werden sogar voreinander versteckt. I2P I2P ist als verteilter anonymer Peer-to-Peer (P2P)-Kommunikations-Layer konzipiert, auf dem jeder herkömmliche Internet Service laufen kann. I2P gibt es seit 2003 und das Netzwerk stellt eine Weiterentwicklung des Freenet dar, das es erlaubt, mehrere Dienste auszuführen (neben http). Während TOR ursprünglich darauf ausgerichtet war, Anonymität für die Verbindung mit einem Internet Service (z.b. WWW) zu gewähren, und sich erst später für generell verborgene Services ausgeweitet hat, ist I2Ps einziges Ziel, Nutzern eine Möglichkeit zu bieten, Services im Verborgenen zu hosten (IRC, Web, Mail und bittorrent). TORs Hauptkonzept ist das Erstellen von Kreisläufen (z.b. verschlüsselte Pfade über ein zufälliges Set von Knoten, um entweder einen Exit-Knoten zu erreichen, der als Proxy dient, oder um einen Rendezvous-Punkt zu erreichen, der als Mittler in der Kommunikation mit einem verborgenen Service dient). I2P wiederum führt die virtuellen Tunnels ein. Jeder Knoten in einem I2P-Netzwerk ist ein Router. Er erstellt und unterhält einen Pool von nach innen und nach außen gerichteten virtuellen Pfaden. Will beispielsweise Knoten A eine Nachricht an Knoten B senden, so routet er die Nachricht an einen der nach außen gerichteten Tunnel zusammen mit den erforderlichen Informationen für einen der nach innen gerichteten Tunnel des Knoten B. Die Informationen über die nach innen gerichteten Tunnel sind, ähnlich wie in TOR, in einer DHT gespeichert, die als dezentralisierte Netzwerkdatenbank dient. So existiert kein zentraler Point-of-Failure. Jegliche Kommunikation ist über mehrere Schichten verschlüsselt: Point-to-Point-Verschlüsselung zwischen Sender und Empfänger, Transportverschlüsselung zwischen den Routern im Netzwerk und End-to-End in den Tunneln. Während TOR ein Verschlüsselungsschema namens Onion Routing nutzt, nennt man das verschlüsselte Routing in I2P Garlic Routing. Die versteckten Sites (Torrent Tracker oder anonyme Mail-Server), auch eepsites genannt, die im I2P-Netzwerk gehostet werden, können entweder über einen Hash-Wert oder einen Domain Name mit der.i2p TLD identifiziert werden. 6

7 Freenet Freenet gibt es seit 2000, und es gilt als Vorgänger von I2P. Doch anders als I2P enthält es eine reine DHT in Form eines unstrukturierten übergelagerten Netzwerks. Das bedeutet, dass jeder Knoten für ein Unterset an vorhandenen Ressourcen zuständig ist und diese gemeinsam bedient, wenn er eine Anfrage erhält. Darüber hinaus unterhalten die Knoten eine Liste von Nachbarsknoten, die üblicherweise bekannt und vertrauenswürdig sind. Das Prinzip nennt sich Small World Principle. Knoten und Daten werden über einen Schlüssel identifiziert, der normalerweise über einen Hash-Wert repräsentiert wird. Wenn eine Anfrage eine Ressource sucht, so geht sie über alle Nachbarn eines Knotens und zwar in der Reihenfolge der Präferenz (z.b. zu Knoten, deren Schlüssel dem Ressourcenschlüssel am nächsten ist). Aufgrund seines Ansatzes ist Freenet für die Verarbeitung von statischen Inhalten besser geeignet und kann mit dynamisch generierten Webseiten oder anderen Formen von Internetdiensten (z.b. IRC, Mail usw.) weniger gut umgehen. Im Vergleich zu I2P und TOR bietet Freenet weniger Flexibilität hinsichtlich der gehosteten Dienste, weil das Netzwerk lediglich statische Inhalte, ohne etwa Server-seitiges Scripting, zur Verfügung stellt. Auch ist die Auswahl an Diensten, die darauf implementiert werden können, eingeschränkt. Das heißt jedoch nicht, dass Freenet keine geeigenete Plattform für das Hosting einfacher Marktplätze oder für den Austausch informationsbezogener bösartiger Aktivitäten darstellt. Alternative Domain Roots Alternative Domain Roots, auch bekannt als betrügerische TLDs, sind eine Netzwerkklasse, die DNS-Domänen nutzt, die nicht unter der Kontrolle der ICANN stehen (anders als traditionelle.dot/.net/.org Domänen). Domänen, die innerhalb einer solchen TLD registriert sind, müssen einen dedizierten Name-Server nutzen. Andererseits ist, abhängig von der Institution, die die DNS-Root betreibt, die Registrierung eines Domänennamen für einen böswilligen Akteur viel weniger kompliziert als bei.bit-domänen, deren Registrierung einem P2P-Paradigma folgt. Im Gegensatz zu TOR bieten alternative DNS-Domänen keine besondere Form der Anonymität. Dennoch bieten sie klare Vorteile für böswillige Akteure, wie einen gewissen Schutz vor Domain-Sinkholing, flexibleres Domänenmanagment und die Möglichkeit, dem Suchmaschinen-Crawling zu entgehen. Zwar ist es für eine Suchmaschine technisch möglich, eine Site auf einer alternativen DNS zu durchkämmmen (z.b. einfach durch die Nutzung seines DNS-Servers), doch passiert das üblicherweise nicht. Falls es doch vorkommt, werden die Ergebnisse den Nutzern, die keine Rechte für die konfigurierten DNS-Server haben, nicht präsentiert. 7

8 Das Forscherteam konnte folgende aktive alternative DNS Roots identifizieren: Namecoin: ist verantwortlich für die.bit-tld. Sie beruht auf einer P2P-Infrastruktur und arbeitet nach denselben Prinzipien wie Bitcoins. Ein Client, der auf die Domänen zugreifen will, hat entweder einen dedizierten DNS-Client oder nutzt einen der online verfügbaren Gateway DNS-Server. Weitere Informationen zu.bit- TLD wird ein nächstes Forschungspapier von Trend Micro liefern. 5 Cesidian Root: ist ein alternativer DNS, den eine Privatperson aus Italien betreibt, der TLDs wie.cw,.ispsp,.5w und.6w anbietet. 6 Ursprünglich sollte er die parapolitische Vision von Herrn Tallini unterstützen, der auch der selbsternannte Gouverneur von United Micronations Multioceanic Arcipelago (UMMOA) ist. 7 Abgesehen von diesem folkloristischen Aspekt umfasst Cesidian Root ein Netzwerk aus mehr als 30 DNS-Servern weltweit mit IPv4 und IPv6. Namespace.us: Diese Organisation bietet 482 alternative TLDs, wie etwa.academy,.big und.manifesto. Es gibt sie seit 1996, und sie wurde gegründet, um die beschränkte Anzahl der damals verfügbaren TLDs zu erweitern. Außerdem bot sie einen schnelleren Prozess für die Domänenregistrierung sowie anderer auf Domänen bezogener Dienste an. 8 Nachdem der Versuch, die eigenen TLDs in die DNS-Root-Zone zu integrieren, 1990 fehlgeschlug, etablierte sich die Organisation als alternativer Anbieter von Domänennamen und bietet eigene DNS-Server, die sowohl deren TLDs als auch die offiziellen von ICANN auflösen

9 OpenNIC: Dieses Projekt besteht aus einem Netzwerk von DNS-Servern, die von Privatpersonen und Freiwilligen betrieben werden, die eine DNS-Infrastruktur anbieten wollen, die neutral, unabhängig von Regierungen und Organisationen sowie demokratisch und für jeden zugänglich ist. 9 Jeder kann einen Computer als Tier-2 DNS-Server anbieten. Einzige Bedingung ist die Einhaltung einer strikten Policy bezüglich Sicherheit, Performance und Anonymisierung. 10 Neben dem Angebot eines Netzwerks von DNS-Servern für die Standard ICANN DNS-Root liefert dieser DNS-Provider auch einen alternativen Namensraum mit 14 TLDs und Unterstützung für vier alternative TLDs von NewNations. Das ist eine Organisation, die Domain Roots für bestimmte politische Organisationen etwa der Tibeter oder Kurden anbietet. Cyberkriminalität im TOR-Netzwerk Trotz der Tatsache, dass alle beschriebenen Systeme das Potenzial haben, illegale Geschäfte jeglicher Art zu unterstützen, scheint TOR das einzige zu sein, das sich im Untergrundmarkt der Beliebtheit erfreut. Der Grund dafür mag damit zusammenhängen, dass TOR ausgereifter und in seiner Entwicklung weiter ist als die Konkurrenz. Auch wurde das Netzwerk von Organisationen wie Electronic Frontier Foundation als erste Wahl bei Antizensur-Tools bestätigt. TOR Marktplatz ein Überblick Das TOR-Netzwerk umfasst zwei Hauptmarktplätze und dazu zwei weitere, die nicht mehr aktiv sind. Auch beinhaltet es eine Vielfalt an kleinen Sites, die Einzeldienste anbieten. Jeder Marktplatz umfasst eine voll funktionsfähige E-Commerce-Lösung mit verschiedenen Segmenten, Einkaufswagen, Abmeldemanagement, Bezahl- und Treuhanddiensten. Alle unterstützen digitale Währungen wie Bitcoins und Litecoins

10 Silk Road ist der wahrscheinlich unrühmlichste von allen, der in den letzten Jahren für viele Negativschlagzeilen gesorgt hat. 11 Er bietet Warenkataloge in verschiedenen Bereichen (Bild 1) und hat Verkäuferbewertungen und Käuferanleitungen für einen sicheren Einkauf. Es ist bisher der einzige Markt, der von den Forschern ausführlich analysiert worden ist. Eine kürzlich veröffentlichte Untersuchung der Carnegie-Mellon University zeigt, dass 2012 der Umsatz bei 22 Millionen Dollar lag und sich die Zahl der Nutzer in weniger als sechs Monaten verdoppelt hatte. 12 Es stellte sich zudem heraus, dass die Zahlen viel zu niedrig geschätzt waren. Bild 1: Silk Road: Hauptseite 11 drugs-with-digital-dollars/239776/ market/viewall

11 Seit dem 2. Oktober 2013 ist Silk Road nicht mehr aktiv, und der Besitzer und Hauptadministrator Ross William Ulbricht wurde vom FBI verhaftet und als Dread Pirate Roberts angeklagt. Die Anklage gibt eine Reihe von Einzelheiten zum Betrieb des Marktplatzes preis, etwa zum Drogenhandel, Computer-Hacking oder zur Beihilfe zur Geldwäsche. 13 Ulbricht ist auch des Mordauftrags an einem anderen Silk Road-Nutzers verdächtig, der damit gedroht hatte, die Identität tausender von Nutzern zu veröffentlichen. Das FBI gab zudem an, Bitcoins im Wert von circa 3,6 Millionen Dollar beschlagnahmt zu haben. Bitcoin-Transaktionen sind öffentlich, daher kann diese Transaktion in den Bitcoin- Block Chains beobachtet werden. 14 Bitcoins sind eine sehr flüchtige Währung und ihr Wert sank nach dieser Schließung, wird sich aber wahrscheinlich schnell wieder erholen. Dem FBI zufolge sind über die Site in ihrem zweieinhalbjährigen Bestehen Verkäufe im Wert von mehr als 9,5 Millionen Bitcoins getätigt und Provisionen in Höhe von mehr als Bitcoins kassiert worden. Zur Zeit der Anklage waren dies etwa 1,2 Milliarden Dollar und Provisionen von 80 Millionen Dollar

12 Bild 2: Silk Road-Hauptseite nach der Schließung Atlantis war bis vor Kurzem der wichtigste Konkurrent von Silk Road und bot dieselbe Funktionalität mit günstigerer Verkaufsprovision und Unterstützung mehrerer Währungen an. 15 Auch dieses Forum wurde am 20. September 2012 geschlossen. 16 Einem Posting auf Facebook zufolge hatte die Schließung Sicherheitsgründe, die nicht in der Entscheidungsbefugnis des Marktplatzes lagen. Wir haben schreckliche Neuigkeiten. Leider muss Atlantis seine Tore schließen. Aus Sicherheitsgründen, die nicht unserer Entscheidungsbefungnis liegen, haben wir keine andere Wahl, als den Betrieb einzustellen. Sie können uns glauben, dass wir dies nicht tun würden, wenn es nicht hundertprozentig erforderlich wäre. Der Dringlichkeit wegen ermöglichen wir allen Nutzern, noch eine Woche lang ihre Währung abzuziehen. Nach der Schließung gibt es keine Möglichkeit mehr, die Münzen (Coins) wiederzuerlangen. Das Geld, das auf den Konten übrigbleibt, wird einer Wohlfahrtsorganisation im Bereich Drogen ihrer Wahl gespendet

13 Es ist nicht ganz klar, warum Atlantis geschlossen wurde, doch deutet sich an, dass die Polizei diese Deep Web-Marktplätze immer mehr unter Druck setzt. Nach der Schließung dieser beiden Schwergewichte, erfahren Märkte wie Black Market Reloaded (Bild 3) mehr Aufmerksamkeit. Der Marktplatz ist weniger auf Drogenhandel fokussiert (es gibt sie aber auch hier), sondern eher auf den Handel mit digitalen Waren und Services. Sheep Marketplace (Bild 4) mit einem eingeschränkteren Warenangebot ist der einzige, der seine Waren auf einer Seite darstellt, die von außerhalb des TOR- Netzwerks zu erreichen ist und auch von Suchmaschinen indiziert wird. Transaktionen können hier nicht stattfinden. 17 Bild 3: Black Market Reloaded: Hauptseite

14 Bild 4: Sheep Marketplace: Hauptseite TORs private Angebote Es gibt noch zwei weitere Site-Kategorien, die anonymen Handel unterstützen. Die erste hat Untergrundnachrichten-Boards (z.b.underground Market Boards 2.0), wo Interessenten Kleinanzeigen für jede Art von Ware oder Dienst posten und finden können. Die andere Kategorie besteht aus privat betriebenen Sites, die bestimmte Arten von Waren anbieten. Einige davon bestehen lediglich aus einer Präsentationsseite mit Preisen und Kontaktinformationen für anonyme Bestellungen und Anfragen, während andere wiederum ein vollständiges Auftrags- und Zahlmanagementsystem für automatische Bestellungen umfassen. Die Warenvielfalt auf diesen Seiten ist recht breit gefächert und beinhaltet so ziemlich alles, was für illegale Aktivitäten erforderlich ist (Drogen, Waffen, Auftragsmörder). Dieses Papier behandelt jedoch lediglich diejenigen Angebote, die mit Cyberkriminalität in Zusammenhang stehen. 14

15 Tabelle 1 gibt einen Überblick über einige der angebotenen Waren mit ihren Preisen. Kreditkartenpreise beziehen sich, falls nicht anders angegeben, auf eine voll funktionsfähige Karte mit allen für eine Transaktion erforderlichen Daten (z.b. Besitzername, Gültigkeit, Autorisierungscode usw.). 18 Tabelle 1: Preise verschiedener Warentypen Site-Name Adresse Warentypus Kosten Normalisierte Kosten CloneCard wan.onion/board/ EU/US-Kreditkarten 1 BTC 126 $ int/ src/ jpg Mister V mm46.onion/ EU-Kreditkarten $ CC-Planet Fullz EU/US-Kreditkarten 40 $ 54 $ CC 4 ALL llt.onion/ EU/US-Kreditkarten $ Cloned credit cards 5u.onion/products. html EU/US-Kreditkarten $ NSD CC Store u32.onion EU/US-Kreditkarten 10 $ 10 $ Carders Planet add.onion/ EU/US-Kreditkarten $ $ HakPal qjo.onion/ PayPal-Konten 1 BTC für $ 26 $ für $ Onion identity wg.onion/ Gefälschte IDs/ Reisepässe US-Staatsbürgerschaft Gefälschter US- Führerschein bx2.onion/ silkroad/home fbk.onion/ US- Staatsbürgerschaft Gefälschter US- Führerschein (ID) (Reisepass) $ $ 200 $ 200 $ $ (ID) $ (Reisepass) UK -Reisepässe iit.onion/ UK -Reisepässe $ Guttemberg- wan.onion/board/ Falschgeld 1/2 des Geldwerts 1/2 des Geldwerts Drucke int/src/ jpg Qualitativ hochwertige Euro-Replika Gefälschte US- Dollars n4a.onion/ Falsche Euro- Banknoten 500 f CEUR f CEUR f CEUR 676 $ f CEUR $ f CEUR $ f CEUR ecl.onion/ Falsche US- 600 $ f CUSD 600 $ f CUSD Banknoten $ f CUSD $ f CUSD Rent-a-Hacker kez.onion/ Hacking Services $ TOR Web developer p5b.onion/ Webentwicklung 1 BTC pro Stunde 126 $ pro Stunde Die vierte (Kosten) und fünfte (Kosten in Dollar) Spalte zeigen die Preise für den Fall, dass die Services mit ihrem ursprünglichen Wert auf der Site gefunden werden. Die Forscher haben die Preise in Dollar angegeben, um sie vergleichbar zu machen = 1,35 $, 1 BTC = 126 $ 15

16 Es ergaben sich die folgenden Preisspannen: Kreditkarten kosten zwischen 10 $ (NSD CC Store) und 150 $ (Carders Planet). PayPal-Konten gibt es für126 $ (1 BTC) für ein $-Konto (HackPal). Gefälschte Dokumente kosten zwischen 200 $für einen gefälschten US- Führerschein (USA Fake DL) bis zu $ für einen falschen US-Reisepass (Onion Identity), und schließlich $ für eine US-Staatsbürgerschaft (USA Citizenship). Die Preise für Falschgeld hängen von der erworbenen Summe ab und liegen zwischen 0,24 $ pro gefälschtem Dollar (600 $ für falsche Dollar bei Counterfeit USD) und der Hälfte des Werts des Falschgelds (Guttemberg-Drucke). Es gibt auch Serviceangebote für 126 $ die Stunde für einen Webentwickler (TOR Web developer) bis zu 676 $ für verschiedene Hacking Services (z.b. Botnets, Social Engineering, Diebstahl von Kontoanmeldeinformationen usw.) (Rent-a- Hacker). Vergleich mit russischen Untergrundmarktplätzen Bei dem Vergleich geht es um eine Gegenüberstellung der obigen Preise mit denen für die gleichen Waren in russischen Untergrundforen. Anders als die Sites im TOR-Netzwerk, sind die Foren im russischen Untergrund über das Internet erreichbar (d.h. es bedarf keiner Darknet-Software oder eines betrügerischen TLD DNS-Servers), doch kann die Mitgliedschaft auf vertrauenswürdige Personen beschränkt werden. Die Analyse zeigte, dass für digitale Waren (z.b. Kreditkartennummern, PayPal-Konten, Entwicklungsdienste und Malware), Untergrundforen sehr umfangreiche Angebote für Waren und Transaktionen führen. Eine Erklärung dafür wäre die größere Zahl von potenziellen Nutzern, weil der Zugriff keine zusätzliche Darknet-Software erfordert und auch ein niedrigeres Anonymitätsnivieau bietet. Die höhere Anonymität des TOR-Netzwerks ist für die Verkäufer von Nutzen, da sie nicht erwischt werden können, doch auf der anderen Seite hat sie auch ihre Nachteile, denn sie können keine Reputation aufbauen und pflegen das aber ist von essenzieller Bedeutung für den Handel mit sensiblen Waren. Ein Beispiel dieses Nachteils ist die Tatsache, dass TOR-Domänennamen häufig betrügerisch nachgeahmt werden. Die fehlende Kontrolle in der Domain Name Registration und das Prinzip der chiffrierten.onion-domänennamen verschärfen das Problem noch. 16

17 Die Tabelle 2 zeigt Beispiele für Preise aus den Untergrundforen für dieselben digitalen Waren wie die im TOR-Netzwerk in Tabelle 1. Der Vergleich zeigt folgendes: Kreditkarten kosten zwischen 2 $ (Eintrag 4) und 120 $ (Eintrag 2), das heißt der durchschnittliche Preis ist viel niedriger als der auf TOR-Sites (68,8 $ auf TOR-Sites versus 23,7 $ in Untergrundforen). In russischen Untergrundforen werden mehr geklaute Konten und Kontoinformationen verkauft als auf TOR-Sites, wobei die Preise vergleichbar sind (126 $ für ein $-Konto auf TOR-Sites versus 100 $ für ein $-Konto in Untergrundforen). Andere Waren wie etwa gefälschte Dokumente und Falschgeld scheinen in den Untergrundforen nicht angeboten zu werden, oder sind zumindest schwerer zu finden als im TOR-Raum. Tabelle 2: Beispiele von Angeboten mit Preisen im russischen Untergrundd Prs Adresse Warentypus Kosten php?showtopic= php?t= php?t= php?t= php?showtopic= php?t=2548 US-Kreditkarten 2,5 $ US-Kreditkarten EU-Kreditkarten US-Kreditkarten EU-Kreditkarten US-Kreditkarten EU-Kreditkarten Kreditkarten-Scans 14 $ $ $ 2-3 $ 10 $ 2-3 $ 8-9 $ PayPal-Konten 2-15 $ PayPal-Konten 10 $ für $-Konto 20 $ für $-Konto 50 $ für $-Konto 100 $ für $-Konto 150 $ für $-Konto PayPal-Konten 200 $ für $-Konto 500 $ für $-Konto $ für $-Konto showthread.php?t=21284 Russische Reisepässe 250 $ 17

18 Monitoring des Deep Web Das Deep Web im Allgemeinen und das TOR-Netzwerk im Speziellen bieten Cyberkriminellen eine sichere Plattform für eine Vielfalt von illegalen Aktivitäten: von anonymen Marktplätzen über sichere Kommunikationsmittel bis zu einer nicht nachverfolgbaren und schwer auszuschaltenden Infrastruktur für Schadsoftware und Botnets. 19 Aus diesem Grund wird es für die Sicherheitsbranche immer wichtiger, die Aktivitäten in den Darknets zu überwachen und zu verfolgen. Das sind heutzutage TOR-Netzwerke, aber künftig durchaus auch andere Technologien (in erster Linie I2P). Doch aufgrund des Designs erweist sich das Monitoring von Darknets als Herausforderung. Um diese zu meistern, muss sich die Arbeit der Sicherheitsforscher von Trend Micro künftig auf folgende Bereiche konzentrieren wobei einige davon bereits in den Deep Web-Monitoringsystemen abgedeckt sind: Mapping des Verzeichnisses für verborgene Services: Sowohl TOR als auch I2P nutzen eine Domänendatenbank, die auf einem verteilten System DHT beruht. Eine DHT besitzt Knoten, die im System miteinander die Verantwortung für die Speicherung und Wartung eines Subsets der Datenbank übernehmen, und zwar in Form eines Schlüsselwert-Stores. Dank dieses Prinzips der Verteilung der Domain Resolution der verborgenen Dienste ist es möglich, Knoten in der DHT aufzusetzen, um Anfragen, die von einer bestimmten Domäne kommen, zu überwachen. 20 Damit lässt sich eine partielle Sicht auf die Domänendatenbank erzielen und laufende Anfragen lassen sich inspizieren. Auch wenn die Sicherheitsforscher dabei nicht herausfinden können, wer versucht, auf einen bestimmten verborgenen Service zuzugreifen, so können die Sicherheitsforscher statistisch abschätzen, welche neuen Domänen an Beliebtheit zulegen. Je mehr solcher Knoten aufgesetzt werden, desto besser die statistische Einsicht in die Anfragen im Netzwerk. Monitoring der Kundendaten: Ein Sicherheitsanbieter kann auch von der Analyse von Webdaten der Kunden profitieren, die Verbindungen zu Nicht-Standarddomänen suchen. Abhängig vom Level des Loggings auf Kundenseite, ist das Tracking von Darknet- Verbindungen nicht immer besonders ertragreich, doch kann es gute Einblicke in die Aktivitäten auf den Sites geben, die mit betrügerischen TLD-Domänen gehostet werden. Diese Einblicke erfordern nicht notwendigerweise die Überwachung der Kunden selbst. Die Ziele der Webanfragen (d.h. Darknet-Domänen) sollten am interessantesten sein, und nicht wer sich dahin verbindet. Monitoring von Social Sites: Sites wie Pastebin werden häufig für den Austausch von Kontaktinformatioen und Adressen von neuen verborgenen Services genutzt. Deshalb sollten sie unter ständiger Beobachtung stehen, um Nachrichten zu finden, die neue Deep Web-Domänen enthalten. Monitoring von verborgenen Services: Die meisten heutigen verborgenen Services sind sehr schnelllebig, werden häufig schnell wieder eingestellt und später unter einem neuen Domänennamen wieder aufgenommen. Dafür ist es sehr wichtig, einen Snapshot von jeder neuen Site anzufertigen, sobald sie entdeckt wird. Dieser Snapshot dient einer späteren Analyse oder dem Monitoring der Online-Aktivitäten. Beim Crawling

19 von verborgenen Services im Fall des Verdachts auf laufende bösartige Aktivitäten ist folgendes zu beachten: Anders als beim Crawling im offenen Internet, wo für diese Aktion jede zu einer Site gehörenden Ressource herausgelöst wird, ist dies im Deep Web nicht ratsam, da dort die Gefahr besteht, automatisch illegales Material herunterzuladen, wie etwa Kinderpornographie. Semantische Analyse: Sobald die Daten für einen verborgenen Service vorhanden sind, kann der Aufbau einer semantischen Datenbank mit diesen wichtigen Informationen dabei helfen, künftige illegale Aktivitäten auf der Site zu verfolgen und diese mit böswilligen Akteuren in Beziehung zu setzen. Marktplatz-Profiling: Schließlich besteht eine weitere nützliche Aktion darin, die Transaktionen auf Deep Web-Marktplätzen zu profilen, um Informationen über die Verkäufer, Nutzer und Art der angebotenen Waren zu erlangen. Weitere Arbeiten zum Thema TOR und das Deep Web im Allgemeinen, ist der Industrie und der IT-Gemeinde seit mehreren Jahren bekannt. Das erste Papier, das das Deep Web beschreibt, erschien 2001 unter dem Titel Deep Content. Hier versucht Berman das versteckte Internet zu beziffern, indem er die 60 bekanntesten und größten Deep Web-Sites vorstellt. Diese umfassen circa 50 TB Daten, etwa vierzigmal mehr als die bekannte Web-Oberfläche, und sie tauchen in einer Vielfalt von Domänen auf, von wissenschaftlichen über rechtliche bis zu solchen für den Handel. Die Autoren schätzen die Gesamtzahl der Datensätze oder Dokumente innerhalb dieser Gruppe auf etwa 85 Milliarden. Google hat auch versucht, an diese beachtliche Masse an Inhalten heranzukommen. Beispielsweise hat der Konzern ein Abfragesystem für HTML-Seiten vorgeschlagen, wobei die Ergebnisse in einen Index einer Suchmaschine eingefügt werden. 21 Andere, wie Kosmix, haben ebenfalls versucht das Deep Web zu durchforsten Kosmix nutzte mit Federated Search einen neuen Ansatz dafür, der sich von einer Suche in einem konventionellen Web erheblich unterscheidet. Schließlich zeigten die Autoren in Trawling for TOR Hidden Services: Detection, Measurement, Deanonymization Schwachstellen auf, sowohl im Design als auch in der Implementierung der verborgenen Services in TOR. 22 Ihr Ansatz ermöglichte die Vermessung des Deep Web durch das Ent-Anonymisieren eines Teils seines angeblich anonymen Verkehrs. Neuerdings konzentrieren Sicherheitsforscher ihr Interesse auch darauf, die bösartige Nutzung des versteckten Internets aufzudecken. Pierluigi und andere beschreiben das Projekt Artemis, dessen Ziel es ist, quelloffene Intelligenz aus dem Deep Web zu sammeln. 23 Die Autoren verwandten große Mühe darauf zu erforschen, wie Cyberkriminelle das Deep Web für ihre ungesetzlichen Aktivitäten nutzen. Dieselben Autoren präsentieren das Deep Web auch in einer allgemeineren Form in Diving in the Deep Web

20 Schlussfolgerung Das Deep Web, vor allem Darknets wie TOR, stellt böswilligen Akteuren Möglichkeiten für den anonymen Austausch von legalen oder illegalen Waren zur Verfügung, Das Forschungspapier stellt die Ergebnisse einer Analyse verschiedener Netzwerke dar, die den anonymen und nicht nachvollziehbaren Zugriff auf Inhalte des Deep Webs gewährleisten. Die Sicherheitsforscher kommen zu dem Ergebnis, dass heute TOR das Hauptnetzwerk für kommerzielle cyberkriminelle Aktivitäten ist. Das Deep Web hat seine Tauglichkeit für das Hosting von C&C-Servern für Botnetze wie auch für den Handel mit Drogen und Waffen bewiesen, doch die herkömmlichen cyberkriminellen Waren wie Schadsoftware oder Exploit Kits werden dort seltener gehandelt. Verkäufer können ihre Reputation aufgrund der Anonymität nicht pflegen. Dies wird als Nachteil empfunden, weil der Händler keine Kundenbindung aufbauen kann. Die Tatsache, dass keine Aktivitäten im unkonventionellen Deep Web zu beobachten sind, bedeutet nicht, dass tatsächlich nichts passiert. Die Aktivitäten sind lediglich schwieriger zu entdecken, gemäß den Prinzipien im Deep Web. Auch hier gilt, dass eine kritische Masse notwendig ist, um erfolgreich zu sein. Manche Sites, für die eine Entdeckung schwerwiegende Folgen haben kann (etwa im Bereich Kinderpornografie), sind nur zu bestimmten Zeiten Online und haben für den Handel lediglich ein bestimmtes Zeitfenster zur Verfügung. Das Bekanntwerden von landesweiten Überwachungsaktivitäten des Internets sowie die kürzlich erfolgten Verhaftungen von Hintermännern hinter kriminellen Sites im Deep Web zeitigen Folgen. Es wäre nicht verwunderlich, wennn der kriminelle Untergrund sich in weitere Darknets oder private Netzwerke aufsplittet und damit die Aufgabe der Ermittler weiter erschwert. Beispielsweise bedeutet die Schließung des Silk Road-Marktplatzes einen schweren Schlag für den Untergrundhandel mit illegalen Waren. Doch besitzt das Deep Web das Potenzial, eine steigende Zahl an bösartigen Diensten und Aktivitäten zu hosten. Deshalb wird es wohl nicht lang dauern, bis neue große Marktplätze entstehen. Das heißt, Sicherheitsforscher müssen auch weiterhin aufmerksam sein und neue Wege finden, bösartige Dienste schnell zu erkennen. 20