Monitoramento de Fontes da Dark Web

Quando Usar

Use esta habilidade quando:

• Estabelecer monitoramento contínuo para nomes de domínio organizacionais, nomes de executivos e marcas de produtos em fóruns da dark web
• Investigar uma alegação de violação de dados relatada encontrada em um site de vazamento de ransomware ou site de paste
• Enriquecer uma investigação de incidente com contexto sobre credenciais roubadas ou ataques planejados

Não use esta habilidade sem medidas adequadas de segurança operacional — navegar na dark web sem isolamento expõe a infraestrutura do analista à contra-inteligência do adversário.

Pré-requisitos

• Serviço comercial de monitoramento da dark web (Recorded Future, Flashpoint, Intel 471 ou Cybersixgill)
• Ambiente operacional isolado: Whonix OS ou Tails OS executando em uma VM sem armazenamento persistente
• Lista de palavras-chave: domínio da organização, nomes de executivos-chave, nomes de produtos, faixas de IP, credenciais conhecidas
• Orientação legal confirmando que o monitoramento passivo é autorizado em sua jurisdição

Fluxo de Trabalho

Etapa 1: Estabelecer Monitoramento de Palavras-chave via Serviços Comerciais

Configure palavras-chave de monitoramento da dark web em sua plataforma CTI (por exemplo, módulo Exposure do Recorded Future):

• Variações de domínio: company.com, @company.com, company[dot]com
• Nomes de executivos: nomes completos de CEO, CISO, CFO
• Nomes de produtos/marcas
• Nomes de código internos ou nomes de projetos (se o escopo da violação suspeita for amplo)
• Domínios de e-mail conhecidos para monitoramento de credenciais

A maioria dos serviços comerciais (Flashpoint, Intel 471, Cybersixgill) rastreia fóruns como XSS, Exploit[.]in, BreachForums e comunidades de cibercriminosos de língua russa sem expor os analistas.

Etapa 2: Investigação Manual com Segurança Operacional

Para investigações que exigem acesso direto à dark web:

Configuração do ambiente:

1. Use uma máquina física dedicada ou VM isolada (Whonix + VirtualBox)
2. Conecte-se apenas via Tor Browser — nunca via navegador padrão
3. Use uma identidade de cobertura sem vínculos com a organização
4. Nunca faça login com credenciais reais em nenhum site da dark web
5. Documente todas as sessões no log de investigação com carimbos de data/hora

Monitoramento de sites de paste (acessíveis pela clearnet, sem necessidade de Tor):

# Hunt paste sites via API
curl "https://psbdmp.ws/api/search/company.com" | jq '.data[].id'
curl "https://pastebin.com/search?q=company.com" # Rate-limited public search

Etapa 3: Investigar Sites de Vazamento de Ransomware

Grupos de ransomware mantêm sites de vazamento .onion. Monitore-os através de serviços comerciais em vez de acesso direto. Quando uma alegação sobre sua organização aparecer:

1. Capture evidências de captura de tela via serviço comercial (não acesse diretamente)
2. Avalie a legitimidade: os dados reivindicados pelo ator da ameaça se alinham com algum sistema interno conhecido?
3. Verifique o carimbo de data/hora: esta alegação é recente ou histórica?
4. Cruze referências com quaisquer incidentes de segurança conhecidos ou campanhas de phishing desse período
5. Envolva a equipe de IR se a alegação parecer crível antes da divulgação pública

Operadores conhecidos de sites de vazamento de ransomware ativos (a partir do início de 2025): LockBit (desmantelado em fevereiro de 2024), ALPHV/BlackCat (desmantelado em dezembro de 2023), Cl0p, RansomHub, Play.

Etapa 4: Monitoramento de Exposição de Credenciais

Para monitoramento de credenciais vazadas:

• Have I Been Pwned Enterprise: Notificação em nível de domínio para exposições de credenciais em conjuntos de dados de violação
• SpyCloud: Monitoramento comercial de credenciais com recuperação de senhas em texto simples e anti-cracking de mercados criminosos
• Flare Systems: Monitoramento automatizado de sites de paste e mercados da dark web para vazamentos de credenciais

Quando exposições de credenciais forem confirmadas:

1. Force o redefinição de senha para as contas afetadas imediatamente
2. Verifique se as credenciais fornecem acesso a quaisquer sistemas organizacionais (SSO, VPN)
3. Revise os logs de acesso para o período entre a exposição das credenciais e a detecção de acesso não autorizado

Etapa 5: Documentar e Escalar Descobertas

Para cada descoberta na dark web:

• Capture evidências (captura de tela do serviço comercial, arquivo do site de paste)
• Classifique a gravidade: P1 (ameaça de ataque iminente ou exposição ativa de dados), P2 (exposição de credenciais), P3 (menção geral)
• Notifique as partes interessadas apropriadas dentro dos SLAs definidos
• Abra um ticket de investigação e vincule aos artefatos de evidência
• Aplique TLP:RED para quaisquer descobertas que referenciem executivos nomeados ou planos de ataque específicos

Conceitos-chave

…