Нов метод за откриване на реалните IP адреси на Tor сървърите

Експерт в областта на информационните технологии, известен под псевдонима Sh1ttyKids, демонстрира нов метод за идентифициране на истинските IP адреси на Tor сървърите. Изследователят е използвал ETag (entity tag) в заглавието на HTTP отговорите.

Sh1ttyKids започва проучването си във връзка с хакването на Capcom, която беше компрометирана още през 2020 г. от групата Ragnar Locker ransomware. Тъй като Capcom отказа да плати откупа, около 67 GB откраднати файлове бяха публикувани в даркнет.

По това време сайтът на групировката съдържаше само линк към изтичането, но не и самите файлове, а Sh1ttyKids забеляза, че има отделен адрес на Onion, на който Рагнар Локър хоства подобни „изтичания“. И така файловете бяха хоствани на Onion адрес, започващ с „t2w…“, както е показано на скрийншота по-долу.

Опитът за директен достъп до този адрес води към празна страница. Тогава изследователят се е замислил, че при търсене на IP адреси в даркнет обикновено се проверяват изходният код на сайта, SSL сертификатът, заглавията на отговора и т.н. Това се прави, за да се получат уникални низове и „пръстови отпечатъци“, които след това могат да се използват от Shodan, Censys и други подобни услуги, за да се открие действителният IP адрес на ресурса. В този случай обаче изходният код на сайта няма как да бъде получен.

След това Sh1ttyKids проверил хедърите на отговора, защото ако те съдържат уникален низ, могат да се използват за получаване на IP адреса на източника. В крайна сметка изследователят стигна до заключението, че дори ETag в хедъра на отговора също може да бъде полезен.

Чрез Shodan той потърсил ETag-а „0-5a4a8aa76f2f0“, получен от уебсайта Ragnar Locker, и намерил едно съвпадение.

При опит за директен достъп до този IP адрес се отваря само една празна страница, както и при директен достъп до t2w5by<…>.onion. Но при проверката на заглавията на отговорите изследователят открива същия ETag. След това Sh1ttyKids се е опитал да изтегли файла със същото име от адреса Onion и чрез IP адреса, като в крайна сметка е потвърдил, че и в двата случая файлът може да бъде открит.

Така изследователят стига до заключението, че оригиналният IP адрес на сайта onion t2w5by<…>.onion е 5[.]45[.]65[.]52.

Той подчертава, че тази информация може да бъде използвана от правоприлагащите органи, тъй като информацията за IP адреса може да им помогне да изземат сървъра и да го използват в своите разследвания.

Нещо повече, след известно време е установено, че откритият от специалиста адрес 5[.]45[.] 65[.]52 фигурира в доклад на ФБР. Въпреки че в документа няма допълнителна информация за този IP адрес, Sh1ttyKids е сигурен, че той е свързан със сървъра, който е бил използван за разполагане на компрометираните данни на Capcom. Навярно ФБР провежда свое разследване, в рамките на което достига до почти същата информация.