暗网观察

信息窃取恶意软件是现代公司的主要威胁载体之一。然而，许多安全团队仍然专注于泄露的凭据，并且仍然没有意识到感染了信息窃取程序恶意软件的设备所带来的重大威胁。

这篇Flare解释文章将深入研究窃取恶意软件的生命周期，并提供检测和修复技巧。

什么是信息窃取恶意软件？存在多种信息窃取恶意软件变体，但我们经常遇到的主要群体是Redline、Raccoon、Vidar和Titan。这种恶意软件会感染受害计算机并导出保存在浏览器中的密码，以及操作系统版本、IP地址、剪贴板数据、浏览器历史记录、保存的信用卡和加密货币钱包数据等主机数据。

然后，恶意软件将此数据发送回威胁参与者的命令和控制基础设施。它随后在专门的暗网市场上作为单独的列表出售，或通过专门的网络犯罪Telegram渠道分发。

窃取者恶意软件生命周期 - 恶意软件即服务供应商

随着网络犯罪生态系统的发展，恶意软件商品化的趋势越来越明显，信息窃取恶意软件也不例外。

恶意软件即服务供应商在专门的Telegram频道上以每月固定价格出售对主要信息窃取器变体的访问权限，通常从100美元到300美元不等，具体取决于恶意软件的年龄；并提供终生订阅。

买家还可以访问链接到命令和控制基础设施的后台网站，该后台网站可用于在集中位置收集受害者的日志。

窃取者恶意软件生命周期 - 分发

购买信息窃取恶意软件的威胁行为者有责任将恶意软件分发给受害者。这种分布通常通过三个主要途径发生：破解软件下载、非法广告和针对组织的针对性攻击的鱼叉式网络钓鱼电子邮件。

一旦将信息窃取程序恶意软件下载到受害者的计算机上，它就会自动执行并尝试与C2基础设施建立通信。成功通信后，凭据和主机数据将被发送回威胁参与者。

窃取者恶意软件生命周期 - 转售

绝大多数信息窃取恶意软件来自无法访问公司IT环境的家庭计算机。在许多情况下，威胁行为者利用信息窃取恶意软件来访问VPN环境、流媒体服务和其他基本的消费者应用程序。但是，确实提供对公司IT环境的访问的日志受到高度重视。

Flare公司每周处理超过100万份信息窃取恶意软件，并估计至少有1%包含对公司IT环境的访问。信息窃取恶意软件通常通过四个主要渠道之一分发：

俄罗斯市场Genesis Marketplace的公共电报室，私人“VIP”电报室

Flare的SaaS网络情报平台发现在俄罗斯和Genesis市场上出售的日志带有一个基本的保存凭据列表，这些凭据保存在浏览器中。购买时会提供有关受害者机器和密码的完整信息。

这些市场专为“购买”特定凭据的威胁行为者而设计，凭据的价格通常会根据所售信息的类型而有很大差异。例如，在Genesis市场上列出的受感染设备的平均价格为14.39美元，但在列出的医疗保健领域中，价格跃升至93.91美元，并且可以使用银行服务使每台设备的价格超过110美元。

Telegram上的私人数据频道广告

通过Telegram分发的数据完全不同，它们通常出现在包含数百或数千个单独日志的大型zip文件中。它们通常分布在公共Telegram房间中，但也有相当一部分在私人VIP“付费访问”Telegram频道中共享。

这些通常每月花费300-900美元，并且仅限于10-15个用户。这为通道中的威胁行为者提供了排他性，使他们能够挑选并利用最有价值的日志，然后他们可能会在以后被泄露到公共电报室中。

在公共Telegram频道中免费提供日志

窃取者恶意软件生命周期 - 初始访问代理

许多活跃在exploit.in和xss.is等暗网论坛上的初始访问经纪人会筛选在Telegram的VIP频道以及俄罗斯和Genesis市场上发现的数百万信息窃取恶意软件。

他们的目标是识别包含公司访问权限的日志，然后可以使用这些日志来建立和扩展公司访问权限。购买已经拥有多组公司凭证的日志可以显着简化危害公司的过程。

它允许威胁参与者专注于验证和扩展初始访问，而不是最初建立它。一旦访问得到验证，初始访问代理（IAB）就会拍卖已建立的访问，价格从数千美元到数万美元不等，具体取决于受害组织和建立的访问级别。

来自Exploit.in的帖子出售对公司环境的访问权限。请注意，除了受害者正在使用的AV之外，威胁参与者还列出了有关受影响公司的重要信息。投标起价为1000美元，递增1000美元，“立即购买”价格为10000美元。

使用Flare检测和修复信息窃取恶意软件

Flare的SaaS平台为组织提供高价值、量身定制的威胁暴露管理。Flare可检测数百个暗网市场和论坛、数千个非法Telegram频道和明确的网络风险来源的威胁。

网络安全公司Group-IB周四在新加坡的ATxSG会议上表示，出现在暗网犯罪市场上的被盗亚洲信用卡号码的数量已经急剧下降。

相反，该地区的坏人已经升级了他们窃取公司文件的企图——印度是整个亚洲地区的主要目标。

研究人员发现，犯罪分子在2023年使用僵尸网络从印度企业中窃取了3249318条记录，该国有413个公司账户的实体也遭受了损害。在遭受僵尸网络盗窃1950951条记录后，印度尼西亚在受损文档排行榜上排名第二。越南在被盗企业账户数量上排名第二，有322个公司账户被破解。

在Group-IB检测到的100起亚太地区公司数据泄露事件中，有超过8100万条记录，其中34起来自印度，22起来自印度尼西亚。台湾仅以6次排名第三。亚太地区的数据泄露事件呈上升趋势，同比增长27%。

而在暗网上发现的2900万个被泄露的账户中，超过1200万个账户的顶级域名与印度有关。印度尼西亚排在第二位，有近440万个。大部分账户是在Russianmarketshop上提供的（85%），并使用Raccoon stealer（73%）获得的。

Group-IB的业务发展总监Kamo Basentsyan表示，很容易理解为什么印度、印度尼西亚和越南成为攻击目标——它们是大国，也是信息技术的重度用户。但这并不意味着其他国家不是目标。

在Group-IB公布的恶意安卓覆盖供应商InTheBox的恶意软件盛行的国家/地区列表中，印度没有名列前茅。澳大利亚以34个移动应用程序在该类别中领先，其次是印度，有33个。第三和第四位分别是日本（23个）和新加坡（21个）。

InTheBox主要为银行恶意软件提供便利，因此针对日本、新加坡和澳大利亚等较富裕的国家作为目标，意味着犯罪分子的努力会得到更多的回报。

Group-IB发现，暗网凭证市场中来自中国的公司账户破解和信用卡数量比该地区任何其他国家都多。

这家新加坡信息安全公司报告称，其发现的文本和数据转储包含2023年迄今为止在售的213000多张亚太地区信用卡，这个数字比2022年同期的信用卡数量少10倍。

超过62000张是澳大利亚的信用卡，其次是来自中国的超过29000张。

暗网上出售的信用卡数量下降，而数据泄露事件却在增加，这可以解释为犯罪商业模式进一步转移，从针对个人转向企业、政府和其他实体等潜在的更有利可图的目标。

Group-IB是一家网络安全公司，该公司在今年宣布发现了疑似由国家支持的网络间谍组织Dark Pink。该组织最近扩大了其目标，包括印度等地。

任何互联网用户都可能担心他们的个人数据可能会被盗，最终不仅会出现在网络上，还会出现在暗网上。后者是来自替代网络的各种内容的所在地，可通过特定设置或协议访问。幸运的是，有一些在线工具可以帮助您发现您的帐户是否存在风险。

暗网可能是一个言论自由的地方，但它也是一个交易和出售武器、各种毒品和个人数据的地方。在这个非法市场上，您的Facebook帐户、社会保险号码或信用卡号可能价值数十美元。

您可以使用一些工具来查明您的某些数据（从您的电子邮件地址开始）是否正在暗网上传播。例如，您可以访问Have I Been Pwned网站或防病毒发行商F-Secure的专用页面。在这两处网站，您都可以输入您的电子邮件地址，该服务会列出您的所有数据被报告为被盗的帐户。但是，尽管这些数据仍在流通，但没有证据表明它已被使用或以任何方式出售。不过，您应该尽快更改与这个电子邮件地址和所确定的账户相关的密码。

为避免成为数据盗窃的受害者，您可以采取一些简单的措施，例如定期更改密码，例如每三个月更改一次。这不会阻止您的电子邮件地址在互联网的隐蔽角落传播，但它应该有助于保护您的帐户内容和相关数据的安全。

与此同时，Google也为Gmail电子邮件地址添加了一项新的安全功能。您将能够查明您的地址是否在被黑的数据库中。

您的Gmail地址在暗网上吗？

正是在一篇博文中，谷歌宣布了一项名为“暗网报告”的新功能，字面意思是“暗网报告”。目前，在Google One网站和应用程序中，美国的大多数Google帐户都可以使用她。

暗网报告允许在被黑数据库中进行分析。Google拥有并列出它们，并且可以知道您的Gmail地址是否在那里。它类似于多年来广为人知的Have I Been Pwned网站。这不是谷歌的第一个此类工具：2019年，这家网络巨头推出了一项功能，可以查看其密码是否已被泄露。

此后的兴趣是向您提供有关解决此问题的程序说明。如果您的密码存在于其中一个数据库中，建议您在遭受黑客攻击的网站或应用程序受害者上修改密码。该平台还提醒您将密码从一项服务更改为另一项服务。

谷歌指定美国用户“可以搜索额外的个人信息“，例如他们的社会安全号码。目前，只有美国人可以使用此功能，但该公司补充说，未来几个月将有20多个国家/地区使用它。这只会影响个人帐号，不会影响Google Workspace帐号。

根据Searchlight Cyber​​的一份报告，能源行业越来越多地成为恶意行为者和威胁组织在暗网上开展攻击活动的目标，该报告详细介绍了威胁行为者出售全球能源企业初始访问权限的众多实例。

流行的暗网论坛（如Exploit、RaidForums和BreachForums）上出售的目标包括美国、加拿大、英国、法国、意大利和印度尼西亚的能源企业。

以能源行业目标

在暗网上观察到的针对能源行业的主要活动是“拍卖”，以获取能源公司的初始访问权限，这些活动通常在暗网论坛上进行，而Exploit.in是这些拍卖中最受欢迎的网站。

该报告指出，一些威胁行为者发布了针对不同企业的多次拍卖，表明他们是初始接入市场的专家。

威胁行为者经常使用术语“开始”、“步骤”和“突击”，表示初始访问的起始价格、出价增量和“立即购买”价格（突击）。

该研究还强调了威胁参与者讨论ICS系统和分享有关ICS/SCADA、PLC、RTU、HMI和工业系统其他组件的教程、论文和文档。

Ontinue安全运营副总裁Craig Jones称这份报告很有启发性，并表示他们揭示了针对石油和天然气行业的威胁格局发生了重大转变。

他说：“威胁行为者正在暗网上拍卖对企业网络的初始访问权，这一事实凸显了网络犯罪黑社会内部的复杂性和组织性。”

值得注意的是，这些拍卖不是本地化的；它们以世界上许多国家的企业为目标，突出了这一威胁的全球性。他补充说，带有“开始”、“步骤”和“突击”等术语的拍卖帖子的标准化表明了这个非法市场的成熟程度。

Jones说：“它还提供了一个窗口，让我们了解网络犯罪分子在针对企业发动攻击时所重视的信息类型，例如访问类型、国家/地区、行业和收入。”

他补充说，虽然此活动“无疑令人震惊的”，但重要的是要注意，这种可见性可以转化为安全专业人员的优势。

“通过监控这些暗网论坛，我们可以识别对我们企业的潜在威胁，并采取积极措施来保护网络。”他指出。

威胁建模的洞察力

此外，他说该报告的调查结果为威胁建模提供了宝贵的见解。

“即使某个企业与拍卖帖子中列出的受害者的确切信息不符，这种策略被用于对付其他能源公司这一事实也是至关重要的信息，”Jones说。“它可以为防御策略提供信息，帮助安全团队准备和减轻此类威胁。”

检测态势管理公司CardinalOps的网络防御战略副总裁Phil Neray指出，勒索软件威胁行为者正在追逐任何产生可观利润的行业，而能源公司当然属于这一类。

他补充说，由于大量远程访问连接可以通过弱凭证或被盗凭证(MITRE ATT&CK T1589.001)或VPN漏洞(T1588.005)加以利用，因此可以看出能源行业组织往往有较弱的安全防护能力。

“有一个案例，Colonial Pipeline被DarkSide勒索软件团伙通过一个受损的VPN攻破，导致勒索软件支付440万美元，外加联邦监管机构提议的近100万美元罚款。”他指出。

从他的角度来看，防止漏洞始于在您的SOC中进行正确的检测，并且如报告中所述，企业应该使用MITRE ATT&CK来建立一个基于检测对手针对其行业常用的TTP的威胁通知防御。

Vulcan Cyber​​的高级技术工程师Mike Parkin指出，能源行业并不是网络犯罪分子攻击的新目标，该报告最终强调了这一点——它还显示了网络犯罪生态系统已经变得多么先进。

他说：“在犯罪即服务产品之间，经纪人出售对被攻击目标的访问权，僵尸网络，加密矿场等等，他们显示了我们期待的合法商业组织的多样性和成熟度。”

他解释说，拥有这些额外信息可能有助于企业了解他们可能面临的对手类型，但事实是任何人都可能成为目标。

“最终，我们都应该采取的标准预防措施——最新的补丁、安全配置、受过教育的用户和其他措施——适用于我们预期攻击源自何处。”Parkin说。

用数据打击毒品交易，INFORMS期刊《信息系统研究》中的新研究展示了数据和分析在理解暗网上的毒品交易可能如何被破坏方面的力量。该研究着眼于三个最大的暗网市场的数据，以显示有选择地针对网上大型毒品供应商的影响。

该研究的作者之一、明尼苏达大学的Jason Chan说：“通过查看受监管站点Silk Road 2 (SR2，丝绸之路2)与非受监管站点Agora和Evolution的各种结果，我们发现受监管站点的执法工作显着降低了后续交易水平和剩余供应商的数量。”

“关于美国参与者在丝绸之路2上被捕的消息导致每个供应商的交易数量平均下降了39%。而在受监管的网站上，剩余供应商的数量下降了56%。这一结果表明警方的努力对暗网生态系统造成了负面冲击，其中很大一部分毒贩决定完全退出。”

这项名为“照亮黑暗：警方执法对暗网交易的影响”的研究表明，通过“选择性瞄准”逮捕暗网参与者，会对受影响网站的交易量和每周参与水平造成下行压力。

该研究的共同作者、佛罗里达大学的Shu He说：“小型暗网毒品供应商在逮捕事件中受到的威慑最大，相对于那些销售不危险毒品的供应商，销售危险毒品的供应商受到的威慑更大。”、“执法不仅有效地威慑了与被捕者位于同一国家的用户，而且还对被捕者的起诉管辖范围之外的暗网参与者产生了溢出效应。”

研究人员表示，他们的数据具有重要的经济意义，可以作为初步证据，支持有选择地针对大型毒品供应商以抑制暗网活动的有效性。

新加坡国立大学的研究作者Dandan Qiao说：“与成本高昂且需要大量人力的‘关闭网站‘相比，’选择性瞄准贩毒参与者‘成本更低且耗时更少，但仍能够减少暗网市场上的毒品交易活动。”

暗网市场的平均每日交易涉及价值至少200万美元的商品和服务。作者敦促政策制定者和执法机构必须使用各种不同的监管策略来阻止大型供应商。

德克萨斯大学奥斯汀分校的共同作者Andrew Whinston说：“有选择的目标是有效的，我们的分析清楚地表明，相当一部分暗网用户被暗网网站上的主要供应商逮捕而吓倒。”

谷歌只索引了互联网的一小部分。据估计，互联网包含的内容比Google在搜索结果中返回的内容多500倍。当您输入查询时，谷歌和其他搜索引擎返回的链接被称为“表网”，而所有其他不可搜索的内容被称为“深网”。

暗网构成了深网的一小部分。暗网由故意隐藏的网站和服务组成。暗网的所有者和用户都是匿名的。虽然并非暗网上的所有内容都是非法的，但您可以在其中找到许多互联网黑市、黑客论坛、恶意软件供应商和其他非法活动。

什么是暗网

暗网是故意隐藏的深网的一小部分。暗网上的网站和数据通常需要特殊工具才能访问。

最常与暗网相关的网站类型是买卖毒品、枪支和被盗信用卡号码等非法商品的市场。最黑暗的角落被用来雇佣杀手，从事人口贩卖，交换儿童色情制品。

不仅如此，暗网还包含可以匿名访问的内容和数据。它可以是博客、论坛、聊天室或私人游戏服务器。

暗网的美妙之处在于匿名性。没有人知道现实世界中的其他人是谁，只要他们采取必要的预防措施。用户的身份不会受到政府和企业的窥探。

暗网和Tor经常被记者和举报人用来交换敏感信息，包括爱德华斯诺登本人。例如，Ashley Madison数据转储被发布到一个只有Tor用户才能访问的站点。

如何安全地访问暗网

要访问绝大多数暗网，您需要Tor。Tor是一个志愿者中继网络，通过它路由用户的互联网连接。连接是加密的，所有流量都在世界各地的中继站点之间中继，使用户保持匿名。“暗网里”是一个暗网科普网站，中国最权威的暗网新闻资讯的第一门户，包括最新的暗网新闻，暗网观察。

获取Tor浏览器

访问Tor的最简单方法是通过Tor浏览器。您可以免费下载并安装它。您可以使用VPN和现有浏览器的私有/隐身模式隐藏您下载Tor浏览器的动作。

Tor浏览器基于Firefox，可让您在明网和暗网上冲浪。您的所有流量都自动通过Tor网络路由。但请确保仅可以从官方网站下载Tor浏览器，以免将恶意软件、间谍软件或其他病毒下载到您的设备。

目前，Tor浏览器仅适用于Windows、Mac、Android和Linux。但是，许多专家建议不要使用利用Tor网络的第三方移动端浏览器。

增加安全性：使用VPN

互联网提供商和网站可以检测到何时使用Tor，因为Tor节点IP是公开的。尽管网站无法识别您的身份，ISP也无法解密您的互联网流量，但他们可以看到正在使用Tor。这可能会引起怀疑并引起不必要的注意。

如果您想私下使用Tor，您可以使用VPN或Tor Bridges（未公开索引的Tor节点）。美国的Tor用户可能特别想使用VPN，它会更快、更可靠。

使用当为暗网VPN时，您的ISP将无法看到您连接到Tor节点，只能看到通往VPN服务器的加密隧道。

浏览暗网

现在您有了Tor，就可以访问暗网了。暗网网站被称为“Tor隐藏服务”，可以通过URL与普通网站区分开来。

不同于正常的域名后缀“.com”或“.org”，暗网地址可以通过顶级域名“.onion”来进行访问。

显然，找到这些.onion网站是第一个挑战，因为它们不会出现在Google搜索结果中。你不能只是谷歌“丝绸之路”并希望登陆暗网。

一些为.onion网站编制索引的暗网搜索引擎包括NotEvil、Ahmia、Candle和Torch。还有像dark.fail这样的目录。

但请注意

使用公开发布的洋葱URL时，请务必格外小心。如果您无法从您信任的人那里获得个人推荐，请验证来自多个不同来源的URL。

暗网不乏旨在欺骗新手的骗局、钓鱼网站和恶意软件。发布到明文网络的链接通常是恶意的。而且由于在暗网上很少使用HTTPS，因此使用SSL证书验证网站是否真实是不可行的。

Reddit也是查找您正在寻找的暗网或深层网站的宝贵资源。尝试/r/deepweb、/r/onions和/r/Torsubreddits。

选择匿名

您现在可以安全地浏览暗网和隐藏的wiki，但如果您打算做更多的事情，则需要采取一些预防措施。例如，如果您打算在像丝绸之路这样的暗网市场上购买急需生存的药物，您就需要创建一个假身份。这意味着使用新电子邮件地址设置加密电子邮件、使用PGP加密消息、使用化名、设置匿名比特币钱包、在Tor浏览器中禁用Javascript、研究供应商等等。

同样，我们怎么强调安全性和匿名性对于那些在暗网上的人来说都是最重要的。当您在Tor网络上时，您的ISP和政府可能无法查看您的活动，但他们确实知道您在Tor网络上，仅此一点就足以引起人们的注意。事实上，美国最高法院最近的一项判决表明，仅使用Tor就足以成为执法部门在全球范围内搜查和没收任何计算机的可能理由。

另一个重要的预防措施是确保您的.onion后缀的URL正确。洋葱网址通常包含一串看似随机的字母和数字。一旦确定您拥有正确的URL，请将其保存在加密的注释中——Tor浏览器不会缓存它供以后使用。否则，很有可能成为像这个假比特币混合器这样的网络钓鱼骗局的受害者。

我们强烈建议通过VPN使用另一层安全措施。

什么是深网

深网络经常与暗网相混淆。简而言之，深网是所有未被搜索引擎索引的在线存储信息。您不需要任何特殊工具或暗网浏览器即可访问大部分深网；你只需要知道在哪里看。专门的搜索引擎、目录和wiki可以帮助用户找到他们正在寻找的数据。

大多数信息被隐藏只是因为绝大多数用户不会发现它相关。其中大部分隐藏在谷歌不感兴趣或被禁止抓取的数据库中。很多都是旧的和过时的。iPhone应用程序的内容、Dropbox帐户中的文件、学术期刊、法庭记录和私人社交媒体资料都是不一定被谷歌索引但仍然存在于互联网上的数据示例。

许多最好的通用深度网络搜索引擎已经关闭或被收购，例如Alltheweb、DeeperWeb和CompletePlanet。只有几个会提供比Google、Bing或Yahoo更完整的结果：

Dogpile——一个元搜索引擎，它编译来自其他几个搜索引擎的结果，删除重复项并给出结果
WWW虚拟图书馆——网络的原始索引，但与其说是搜索引擎，不如说是目录。

这些都很好，但专门的搜索引擎往往比一般搜索引擎更适合在深网上查找信息。例如，如果您要查找法庭案件，请使用您所在州或国家/地区的公共记录搜索。如果您需要学术期刊，请查看我们关于使用深度网络搜索引擎进行学术和学术研究的文章。您可以越具体越好，否则您最终会得到与在Google上找到的相同的搜索结果。如果您需要特定文件类型，如Excel文件或PDF，请了解如何指定对该文件类型的搜索（例如，在查询中键入“filetype:PDF”）。

VPN over Tor与Tor over VPN

VPN允许用户加密所有进出他或她的设备的互联网流量，并通过位于该用户选择的位置的服务器路由它。结合Tor的VPN进一步增加了用户的安全性和匿名性。

虽然有些相似，但Tor强调匿名性，而VPN强调隐私。

将它们结合使用可以降低风险，但这两种工具的交互方式存在重要区别。让我们首先讨论Tor over VPN。

如果你连接到你的VPN并启动Tor浏览器，你正在使用Tor over VPN，这是迄今为止最常见的方法。您设备的所有互联网流量首先进入VPN服务器，然后在到达最终目的地之前通过Tor网络反弹。您的ISP只能看到加密的VPN流量，不会知道您在Tor上。您可以正常访问.onion网站。

Tor over VPN要求您信任您的VPN提供商，它可以看到您正在使用Tor并保留元数据日志，尽管它实际上无法看到您加密的Tor流量的内容。不存储任何流量日志或会话日志的无日志VPN是非常可取的。流量日志包含您的互联网流量内容，例如您访问的搜索查询和网站，而会话日志包含元数据，例如您的IP地址、您登录VPN的时间以及传输的数据量。流量日志比会话日志更受关注，但两者都不好。

Tor over VPN也不能保护用户免受恶意Tor出口节点的侵害。由于Tor节点由志愿者组成，并非所有人都遵守规则。在您的流量到达目标网站之前的最后一个中继称为出口节点。出口节点会解密您的流量，从而窃取您的个人信息或注入恶意代码。此外，Tor出口节点经常被不信任它们的网站阻止，而Tor over VPN对此也无能为力。

然后是不太受欢迎的VPN over Tor，官方Tor项目建议不要这样做。据我们所知，只有两家VPN提供商AirVPN和BolehVPN提供这项服务，尽管它们在速度方面的得分都不高。在这种情况下，两个工具的顺序被调换了。互联网流量首先通过Tor网络，然后通过VPN。这意味着VPN提供商看不到您的真实IP地址，并且VPN会保护您免受那些不良出口节点的侵害。

最大的缺点是您的ISP会知道您正在使用Tor，这在某些地方引起了关注，并且会让很多人放弃使用这种方法。使用无日志VPN在这种情况下，如果可以保持匿名，并使用比特币支付也很重要。VPN overTor技术也容易受到端到端定时攻击，尽管这种可能性很小。

Tor over VPN要求您信任您的VPN提供商，而不是您的ISP，如果您想访问.onion网站，这是最好的选择。VPN over Tor要求您信任您的ISP而不是您的VPN，如果您想避免坏的Tor出口节点，这是最好的选择。有些人认为VPN over Tor更安全，因为它在整个过程中保持匿名（假设您匿名支付VPN）。尽管官方的Tor项目建议不要使用VPN over Tor，但这两种方法都比根本不使用VPN要好。

主要的警告是速度。由于您的流量经过所有节点，Tor本身会显着限制带宽。给它添加一个VPN，即使是像IPVanish这样的快速VPN也会让它变得更慢，所以请耐心等待。

I2P

I2P是Tor的替代匿名网络。然而，与Tor不同的是，它不能用于访问公共互联网。它只能用于访问特定于I2P网络的隐藏服务。I2P不能用于访问.onion站点，因为它是一个完全独立于Tor的网络。相反，I2P使用自己品牌的隐藏站点，称为“eepsites”。

那么为什么要使用I2P而不是Tor？毕竟，它不太受欢迎，不能用来访问普通网站，而且不太容易使用，还有其他缺点。两者都依赖于点对点路由结构与分层加密相结合，使浏览隐私和匿名。

不过，I2P确实有一些优势。由于多种技术原因，它比Tor更快、更可靠。对等路由结构更高级，它不依赖可信目录来获取路由信息。I2P使用单向隧道，因此窃听者只能捕获出站或入站流量，而不能同时捕获两者。

与Tor相比，设置I2P需要用户进行更多配置。必须下载并安装I2P，然后通过路由器控制台进行配置。然后必须分别配置各个应用程序以使用I2P。在网络浏览器上，您需要配置浏览器的代理设置以使用正确的端口。

Freenet

与I2P一样，Freenet是网络中的一个独立网络，不能用于访问公共Web上的站点。它只能用于访问上传到Freenet的内容，Freenet是一个点对点的分布式数据存储。与I2P和Tor不同，您不需要服务器来托管内容。一旦你上传了一些东西，即使你停止使用Freenet，它也会无限期地保留在那里，只要它很受欢迎。

Freenet允许用户以两种模式之一进行连接：darknet和opennet。暗网模式允许您指定网络上的朋友，并且只与他们联系和共享内容。这允许一群人创建仅由他们认识和信任的人组成的封闭匿名网络。

或者，用户可以在opennet模式下连接，自动分配网络上的对等点。与暗网模式不同，除了去中心化的对等网络之外，opennet还使用少数集中式服务器。

配置相当简单。只需下载、安装和运行。当您打开默认浏览器时，Freenet将准备就绪并通过其基于Web的界面运行。请注意，您应该使用与您通常使用的浏览器不同的浏览器，以帮助确保匿名。

Freenet仍然是一个旨在抵抗拒绝服务攻击和审查制度的实验。

如何进入暗网

使用和访问暗网上的网站是否违法？

暗网包含大部分互联网非法内容，从毒品黑市到儿童色情网站。根据您的居住地，访问此类网站很可能是违法的。

话虽如此，并非暗网上的所有内容都是非法的。许多暗网完全合法且可以安全使用，并且在许多情况下比透明网站更能保护您的隐私。

“暗网里”是暗网中文第一资讯站点，普及暗网的知识，了解暗网的法律，关注暗网热点资讯，聚焦国内外暗网里发生的新闻事件，为您解读不一样的暗网。

为什么会创建暗网

Tor网络由美国军方在1990年代创建，以便间谍可以通过互联网秘密通信。这一努力从未完全实现，但美国军方于2004年在免费许可下发布了该代码。电子前沿基金会和其他团体的研究人员继续开发该代码，并于2006年启动了Tor项目，作为记者、活动家和告密者的工具.

访问暗网会引起注意吗

连接到Tor网络可能会引起注意，具体取决于您的身份和位置。虽然无法跟踪或解密通过Tor发送的数据，但您的互联网服务提供商和网络管理员仍然可以看到您正在使用Tor。因此，我们建议将Tor与VPN配对。VPN的加密会向您的ISP隐藏您正在使用Tor的事实。

我可以使用Tor浏览表网吗

是的！Tor的一大优点是它可用于访问暗网和表网。请注意，虽然您是匿名的，但您将无法获得直接连接的速度或便利，并且某些网站可能会直接阻止您。

我的电话号码在暗网上吗

是的，您的电话号码可能在暗网上。找出答案的最佳方法是查看"Have I Been Pwned" (HIBP)网站。该网站允许您输入您的电子邮件地址或电话号码，并查看它是否因任何数据泄露而受到损害。如果您的信息遭到泄露，那么您的电话号码很可能也在暗网上。

如果我在手机上访问暗网，是否需要VPN

是的，如果你想在手机上访问暗网，你肯定需要一个VPN。这样做的原因是暗网充满了潜在的危险内容，而VPN将有助于保护您的身份和个人信息的安全。如果没有VPN，您可能会面临被黑客攻击或诈骗的风险

访问暗网的方法有很多种，但如果您不知道自己在做什么，浏览暗网可能会很棘手且很危险。VPN将为您提供额外的保护层和匿名性，使探索暗网更加安全。

暗网上有色情内容吗

毫无疑问，色情内容在暗网上随处可见。事实上，暗网有一整部分专门用于色情内容。但是，请务必注意，并非所有这些内容都是合法的。

暗网为人们提供了一个空间，可以在没有判断或审查的情况下访问和共享各种非法和露骨的材料。

事实上，其中大部分在您的管辖范围内可能是非法的。因此，您在访问任何非官方的暗网时应谨慎行事。

为什么暗网没有停止或关闭

暗网没有停止或关闭的原因有几个。首先，很难跟踪和监控暗网上的活动，因为其中大部分都是加密的。

其次，关闭或控制对暗网的访问将是一项艰巨的任务，可能会产生意想不到的后果。最后，许多人将暗网视为保护隐私和言论自由的必要工具。

我的ISP可以看到我正在访问暗网吗

访问暗网的最佳方式是安装Tor浏览器。请注意，您的ISP将能够看到您已连接到Tor。然而，由于Tor的洋葱路由，您的在线活动被加密并隐藏起来。这意味着您的ISP看不到您正在访问暗网（或者实际上您正在访问的特定网站）。

您将无法使用常规浏览器（例如Chrome或Firefox）搜索暗网。此外，除非您连接到VPN服务，否则您在此类浏览器上的在线活动对您的ISP是可见的。

您可以使用隐身模式访问暗网吗

访问暗网是的，您可以使用隐身模式。但是，请务必注意，这不会为您的设备或信息提供任何额外的安全保护。

隐身模式只会阻止浏览器存储历史记录和cookie；您的IP地址和其他详细信息仍然对网络上的任何人可见。因此，建议使用不同的浏览器，例如Tor，以安全可靠地浏览暗网。

暗网真的是匿名的吗

是的，暗网确实是匿名的。这意味着即使在与其他用户互动或参与任何在线活动时，暗网用户的身份和位置都是隐藏在公众视野之外并保持匿名的。

这种匿名连接背后的技术被称为“洋葱路由”，它利用分层方法来隐藏数据并保护用户在网络上的位置。

识别使用暗网的特定个人可能非常棘手。但是，我们建议连接到我们推荐的VPN服务之一以保持匿名。

谁创造了暗网

一个人并没有创建暗网，而是互联网的一部分，需要特定的软件、配置或授权。它与非法活动和隐藏服务有关。例如，最著名的暗网市场之一丝绸之路就是由Ross Ulbricht创建的。

丝绸之路于2011年启动，为毒品和其他非法产品和服务的销售提供便利。该站点作为Tor网络上的地下服务运行，旨在隐藏用户的位置并提供匿名性。

近期在欧洲、美国和巴西的逮捕行动揭示了暗网这一互联网的隐藏部分，它是武器、恋童癖、毒品和计算机黑客的巨大市场，但也是极权制度反对者的天堂。

你能在暗网上冲浪吗？

这个平行网络诞生于自由主义运动，其主要目标是匿名，其网站和论坛不被谷歌（Google）或必应（Bing）等搜索引擎索引。

要访问它，自2004年以来，TOR浏览引擎允许您查阅一个页面，前提是您知道48个字符的地址。

在暗网上没有公共搜索引擎，不可能随机输入一个词来寻找一些信息。

这个结构有11万个活动门户，这个数字在过去五年中成倍增长。另一方面，开放的互联网，即“明网”，注册了16亿个站点。

“但我们正在目睹一种大规模使用，因为五年前，只有一万个活跃站点，”法国Aleph Networks公司的负责人Nicolas Hernandez解释说。该公司开发了世界上唯一能在暗网上运行的搜索引擎。

儿童色情制品呈上升趋势

Hernandez估计，暗网的扩张主要是由于儿童色情内容，占网站的三分之一到三分之二。

“还有许多销售毒品的网站，这些网站非常活跃。就武器销售而言，三年前有大约十个网站，今天有200多个。”他解释道。

被盗数据也是一个重要市场的主题。

Aleph Networks目前记录了超过140万个可供出售的活动卡号、数十亿封带有密码的电子邮件和1200万个被盗比特币钱包。

此外，还可以访问Facebook或Twitter账户，并可以找到入侵Gmail账户的程序。

网络黑手党

暗网承载着网络犯罪组织的结构化环境。

出售基本数据的网站，使钓鱼邮件（在线欺诈）提供给购买的用户，让他们入侵系统。

还有现成的黑客软件，出售或赠送这些软件，以换取一定比例的利润。

在这个网络中，有招聘“自由”黑客的工作机会和在数据盗窃后发布赎金请求的平台，传播部分样本数据作为“证据”。

如果受害者不付款，则数据将被出售。

交易是用加密货币支付的，或者更简单的是，使用被盗的PayPal账户。

新纳粹分子和奥运会的诋毁者

“国家施加的压力越大，就会有越多的参与者进入‘暗网’。就像儿童色情制品或伊斯兰国集团的情况一样。当国家放松压力时，他们又回到了传统网络，这给了他们更多的用户”，Aleph Networks的首席执行官Victor Raffour解释说。

“这就是目前在‘暗网’上交流的极端暴力的法语新纳粹运动正在发生的事情。我们看到正在交织的论坛和社区。”他担忧地评论道。

“暗网”是“黑客行动主义者”、提倡暴力行为和网络攻击的激进分子的聚会场所。

“我们看到有关攻击巴黎奥运会计划的讨论，这吸引了各种‘黑客行动主义者’。他们谈论对摄像机的攻击，从供应商那里窃取数据（……），他们正在阐述，“埃尔南德斯警告说。

短暂的突袭行动

国际刑警组织和欧洲刑警组织近期逮捕了288人，逮捕了互联网上的毒贩，这让一个大型平台“Monopoly Market”垮台。

“但有必要知道他们是否是系统管理员。这可能不会阻止他们的活动，因为创始人通常会保护自己。很难宣布胜利，特别是如果平台是俄罗斯的，”Hernandez解释道。

“在四个月内，平台被重建。暗网是为匿名而设计的。如果他们不犯错误，将很难识别他们。各国需要了解在暗网里发现的内容并加以处理，因为这个领域变得危险了，”他说。

然而，暗网也是一个自由空间。举报人、持不同政见者、记者和所有逃离某些国家压迫的人都在那里，受到匿名的保护。

关于Qilin勒索软件集团的运营和勒索软件即服务（RaaS）计划的新信息已经出现。

在他们最新的研究报告中，Group-IB的威胁情报团队表示，它渗透并分析了Qilin的内部运作，揭示了其针对关键行业的目标以及他们采用的复杂技术。

根据该研究，Qilin也被称为Agenda勒索软件，自2022年8月被发现以来，已成为一个重大威胁。

Group-IB的威胁情报分析师Nikolay Kichatov解释说，Qilin使用Rust和Go编程语言，一直在积极针对关键行业的公司进行高度定制和规避发现的勒索软件攻击。

Kichatov解释说：“Rust变体对勒索软件攻击特别有效，因为除了其易于逃避和难以破译的特性外，它还使针对Windows、Linux和其他操作系统定制恶意软件变得更加容易。”“值得注意的是，Qilin勒索软件团伙有能力为Windows和ESXi版本生成样本。”

这些攻击不仅加密了受害者的数据，还涉及敏感信息的泄露，使威胁行为者能够利用双重勒索技术。

通过访问Qilin的管理面板，Group-IB的研究人员表示，他们对Qilin RaaS计划中的附属结构和支付机制有了前所未有的了解。会员面板分为“目标”、“博客”、“Stuffers”、“新闻”、“付款”和“常见问题解答”等部分，提供对网络协调和管理的全面了解。

此外，Group-IB对Qilin暗网网站的分析显示，在2022年7月至2023年5月期间，该组织在其专用暗网泄密网站上发布了有关12名受害者的信息。这些受害者来自多个国家，包括澳大利亚、巴西、加拿大、哥伦比亚、法国、荷兰、塞尔维亚、英国、日本和美国。

该研究还为防范和防御Qilin勒索软件攻击提供了有价值的建议。其中包括实施多因素身份认证（MFA）、维护稳健的数据备份策略、利用先进的高级恶意软件检测解决方案、确保安全补丁的优先级、开展员工培训和主动监控漏洞。

最近，SentinelOne公司的一份咨询报告中提到，Qilin是越来越多地针对Linux系统的威胁组织之一。

据一位行业专家称，在暗网上创建深度伪造（deepfake）的价格可能在每分钟300美元到20000美元之间。

在暗网市场上可以找到深度伪造的工具和服务，这些服务提供用于各种目的的生成人工智能（AI）视频创建，包括欺诈、勒索和窃取机密数据，这是在哈萨克斯坦阿拉木图举行的卡巴斯基网络安全周末-META 2023上宣布的。

卡巴斯基专家表示：“创建或购买深度伪造的价格可能会有所不同，这取决于项目的复杂性和最终产品的质量。”

卡巴斯基分析了各种暗网市场和地下论坛，为不同的恶意目的提供深度伪造的视频和音频。在某些情况下，个人可能会要求创造深度伪造的特定目标，如名人或政治人物。

网络犯罪分子以多种方式使用生成的AI视频进行非法活动。他们可以使用深度伪造来制作可用于欺骗个人或组织的虚假视频或图像。该公司的一位官员说：“例如，他们可以制作CEO要求电汇或授权付款的虚假视频，可用于窃取公司资金。假视频可用于创建危害个人的视频或图像，也可用于勒索金钱或信息。”他进一步补充道：“网络犯罪分子还可以使用深度伪造来传播虚假信息或操纵公众舆论。例如，他们可以制作一个政客发表有争议言论的假视频，可以用来影响选举结果。”

深度伪造技术可用于通过创建合法帐户所有者的真实虚假视频或录音来绕过支付服务中的验证。这些可以用来欺骗支付服务提供商，让他们以为犯罪分子是真正的账户所有者，从而获得对账户及其相关资金的访问。

“深度伪造越来越多地被用于勒索和欺诈。例如，一家英国能源公司的首席执行官被其母公司负责人的紧急请求转移资金的深度伪造语音骗走了24.3万美元。结果，资金被汇入骗子的银行账户。当该罪犯要求再次转账时才引起了人们的怀疑，但那时要拿回已经转账的资金已经太晚了。阿联酋也报道了一起类似案件，其中40万美元在一场涉及语音深度伪造的骗局中被盗。”卡巴斯基首席数据科学家Vladislav Tushkanov说。

“重要的是要记住，深度伪造不仅对企业构成威胁，而且对个人用户也是一种威胁：它们可以传播错误信息，用于诈骗，或在未经同意的情况下冒充某人。提高数字素养水平是应对这些威胁的关键。”他进一步补充道。

对暗网资源的持续监测为深层造假行业提供了宝贵的见解，使研究人员能够跟踪这一领域的最新趋势和威胁者的活动。通过监控暗网，研究人员可以发现用于创建和分发深度伪造的新工具、服务和市场。这种类型的监控是深度伪造研究的重要组成部分，有助于提高我们对不断变化的威胁态势的理解。卡巴斯基的数字足迹情报服务包括这种类型的监控，以帮助其客户在涉及深度造假相关威胁时保持领先地位。

信息安全架构师David Sennaike偶然发现了“暗网”上的在线广告，并发现一个账户拍卖了90%的尼日利亚银行及其客户的泄露数据。

Sennaike已经在信息安全领域工作了12年，但在他对暗网的一次定期探索中，David在1月份看到了一篇帖子，称他们正在拍卖一家尼日利亚金融科技公司的私人数据、服务器访问权限、用户名和密码，应用程序接口（API）密钥和私人客户数据。

这位专家在他的Linkedin个人资料中透露了这些信息。

受影响的金融机构包括Deposit Money银行、Marchant银行、Micro Finance银行和金融科技。

暗网是互联网上存在的一小部分网络，它不能被搜索引擎搜索到，需要特定的软件、配置或授权才能访问。

“这次泄漏包含了客户的敏感数据，客户，API密钥，员工和管理员的用户名和密码，访问数据库、保留对服务器的shell访问的敏感数据。“

“初始访问是通过在其平台上使用多个IDOR漏洞来实现完整代码执行的。访问用于签署JSON令牌的私钥允许从INVESTOR提升到Admin权限，这意味着最终资金的访问和批准。

“起拍价定为5万美元。你需要在你的钱包里有当前的出价金额才能看到样本。”广告上写道。

变得好奇的Sennaike说，出价已经涨到250000美元，他可以负担得起，但是，他更进一步查看了样本数据的有效性。

“对一些细节的操纵会导致金融技术的完全妥协。我到此为止，并向该组织报告了此事。在来回折腾了一段时间后，他们暂时打了补丁。”

“我决定联系那些发布信息出售的黑客，尝试复杂的社会工程。我建立了我的邪恶的ginx2服务器，在三天之内，我就进入了他们的数据服务器。它包含了关于尼日利亚许多银行及其客户的若干信息。”

这位专家说，他看了其中的一些信息，这让他了解到他们用来访问银行的载体。

“它给出了一些最初的进入载体的想法，以及他们如何入侵大多数金融机构。我验证了其中的许多，并将确保提供附有必要证明的清单，”他补充道。

当他搜索数据时，他发现属于受影响银行的数据被泄露了。

Sennaike发现：“排名前5位的银行在大约四台服务器上运行Fat-pipe mVPN。这是为银行进行远程管理的网络。他们所运行的版本的问题在于它带有一个没有密码的后门用户，名为“cmuser”。这个用户拥有管理权限，没有任何限制，也没有出现在日志中。联邦调查局（FBI）在2021年就警告过这个漏洞，但这家拥有数十亿美元收入和利润的银行却没有更新。你可以登录到网络控制台，并使用它来破坏他们的整个内部基础设施。“

“前面提到的这家银行在他们的一个域名上暴露了一个名为“appsettings.json”的文件。人们还发现，至少有11家银行在一台服务器上暴露了这个文件。这个文件包含内部API密钥、密码和有效数据库的用户名。这为入侵其中一些银行提供了进一步的机会。”