Monitoramento da Dark Web para Ameaças

Visão Geral

O monitoramento da dark web envolve a varredura sistemática de serviços ocultos do Tor, fóruns underground, sites de paste e marketplaces da dark web para identificar ameaças que visam uma organização, incluindo credenciais vazadas, violações de dados, discussões de atores de ameaças, ferramentas de exploração de vulnerabilidades e ataques planejados. Esta habilidade abrange a configuração de infraestrutura de monitoramento, o uso de ferramentas de coleta baseadas em Tor, a implementação de alertas automatizados para menções de marca e vazamentos de credenciais, e a análise de inteligência da dark web para indicadores de ameaças acionáveis.

Quando Usar

• Ao realizar avaliações de segurança que envolvem o monitoramento da dark web para ameaças
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Tor Browser e proxy Tor (SOCKS5 na porta 9050)
• Python 3.9+ com requests, stem, beautifulsoup4, stix2 bibliotecas
• Compreensão da arquitetura de serviços ocultos do Tor (domínios .onion)
• Acesso à API de serviços de monitoramento da dark web (Flare, SpyCloud, DarkOwl, Intel 471)
• Conscientização sobre os limites legais e éticos para pesquisa na dark web
• VM isolada para navegação na dark web (sem vazamento de identidade pessoal ou corporativa)

Conceitos Chave

Fontes de Inteligência da Dark Web

• Fóruns Underground: Fóruns de hacking onde atores de ameaças discutem TTPs, vendem exploits e compartilham ferramentas
• Sites de Paste: Plataformas para compartilhar dados roubados, credenciais e trechos de código
• Marketplaces: Mercados da dark web que vendem dados roubados, RaaS, kits de exploit e acesso
• Telegram/Discord: Canais de comunicação alternativos para grupos de cibercriminosos
• Sites de Vazamento de Ransomware: Blogs onde grupos de ransomware postam dados roubados de vítimas

Métodos de Coleta

• Rastreamento Automatizado: Rastreadores web baseados em Tor escaneando serviços ocultos
• Monitoramento Baseado em API: APIs comerciais de monitoramento da dark web (Flare, DarkOwl, Intel 471)
• HUMINT Manual: Pesquisa orientada por analistas em fóruns e marketplaces específicos
• Monitoramento de Credenciais: Bancos de dados de violações e monitoramento de sites de paste para credenciais vazadas

OPSEC para Pesquisa na Dark Web

• Use VMs dedicadas sem dados pessoais
• Roteie todo o tráfego através do Tor (Whonix ou Tails recomendados)
• Nunca use contas pessoais ou informações identificáveis
• Use endereços de e-mail e personas separadas para registro em fóruns
• Desative o JavaScript no Tor Browser para segurança aprimorada
• Nunca baixe ou execute arquivos de fontes da dark web em sistemas de produção

Fluxo de Trabalho

Etapa 1: Configurar Cliente HTTP Baseado em Tor

import requests
from requests.adapters import HTTPAdapter

def create_tor_session():
    """Create a requests session routed through Tor SOCKS5 proxy."""
    session = requests.Session()
    session.proxies = {
        "http": "socks5h://127.0.0.1:9050",
        "https": "socks5h://127.0.0.1:9050",
    }
    session.headers.update({
        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; rv:109.0) Gecko/20100101 Firefox/115.0",
    })
    return session


def verify_tor_connection(session):
    """Verify that traffic is routed through Tor."""
    try:
        resp = session.get("https://check.torproject.org/api/ip", timeout=30)
        data = resp.json()
        return {
            "is_tor": data.get("IsTor", False),
            "ip": data.get("IP", ""),
        }
    except Exception as e:
        return {"error": str(e)}

Etapa 2: Monitorar Sites de Paste para Vazamentos de Credenciais

import re
from datetime import datetime

def monitor_paste_sites(session, organization_domains):
    """Monitorar sites de paste para vazamentos de credenciais que correspondam aos domínios da organização."""
    findings = []

    # Verificar API Have I Been Pwned (clearnet)
    for domain in organization_domains:
        try:
            resp = requests.get(
                f"https://haveibeenpwned.com/api/v3/breaches",
                headers={"hibp-api-key": "YOUR_HIBP_KEY"},
                timeout=30,
            )
            if resp.status_code == 200:
                breaches = resp.json()
                for breach in breaches:
                    if domain.lower() in breach.get("Domain", "").lower():
                        findings.append({
                            "source": "HIBP",
                            "breach_name": breach["Name"],
                            "breach_date": breach.get("BreachDate"),

…