Großrazzia im Tor-Netzwerk: Die Fahndung nach der Schwachstelle

Der Administrator der Webseite Doxbin hat seine Konfigurations- sowie Log-Dateien veröffentlicht. Damit soll analysiert werden, wie das FBI versteckte Webseiten im Tor-Netzwerk ausfindig machen konnte. Die US-Bundespolizei korrigierte derweil die Zahl der gesperrten Webseiten deutlich nach unten.

Artikel veröffentlicht am ,
Wie das FBI die illegale Handelsplattform Silk Road 2.0 infitrieren konnte, ist noch ein Geheimnis.
Wie das FBI die illegale Handelsplattform Silk Road 2.0 infitrieren konnte, ist noch ein Geheimnis. (Bild: Jangir/AFP/Getty Images)

Wie konnte das FBI und andere Strafverfolgungsbehörden mit ihrer Operation Onymous weltweit Webseiten im Tor-Netzwerk ausfindig machen? Um eine Antwort auf diese Frage zu finden, hat der Administrator der inzwischen gesperrten Webseite Doxbin seine Konfigurationsdateien und Logfiles zur Begutachtung veröffentlicht. In einem Blogeintrag schreiben die Betreiber des Tor-Netzwerks außerdem eine erste Analyse.

Stellenmarkt
  1. IT Mitarbeiter (m/w/d) im Servicedesk
    Hochland SE, Heimenkirch
  2. Informatiker (Fachinformatiker) als Softwareentwickler (m/w/d) für C#
    Connext Communication GmbH, Paderborn
Detailsuche

Der Hidden Service Doxbin war eine der Webseiten, die die Strafverfolgungsbehörden in einer weltweiten Razzia in der vergangenen Woche beschlagnahmten. Dessen Administrator wurde jedoch nicht verhaftet. Er sei noch ohne Handschellen, deshalb stelle er seine Daten zur Verfügung, in der Hoffnung, die Community könne herausfinden, wie die Webseiten enttarnt werden konnten, schreibt er in einer E-Mail an die Mailingliste des Tor-Netzwerks. Böswillige konnten bei Doxbin Zugangsdaten von Personen hinterlegen, um sie zum Ziel von Kriminellen zu machen.

Relay-Server offline

Die Betreiber des Tor-Netzwerks versichern, sie hätten keine Ahnung von der Razzia gehabt und könnten auch nicht sagen, wie die Strafverfolgungsbehörden das Tor-Netzwerk infiltrieren konnten. Fest steht, dass nicht nur Hidden Services gesperrt wurden, sondern auch mehrere Tor-Exit-Nodes vom Netz genommen wurden, darunter zehn in Amsterdam und Miami, die auf insgesamt drei Servern liefen. In Osteuropa soll ein Betreiber eines Relay-Servers verhaftet worden sein, obwohl er nach eigenen Angaben selbst keine illegale Webseite betrieben habe.

Mit Verweis auf die Anklageschrift gegen den mutmaßlichen Betreiber des Hidden Services Silk Road 2.0 könnte zumindest diese Webseite mit Hilfe eines verdeckten Ermittlers enttarnt worden sein. Ein Hinweis auf die Identität des Betreibers habe laut Anklageschrift eine E-Mail-Adresse mit Klarnamen gegeben, was auf eine Fehlkonfiguration des versteckten Dienstes hinweisen könnte.

Webseiten mit Schwachstellen?

Golem Akademie
  1. Jira für Systemadministratoren: virtueller Zwei-Tage-Workshop
    24.–25. Januar 2022, virtuell
  2. Apache Kafka Grundlagen: virtueller Zwei-Tage-Workshop
    21.–22. März 2022, Virtuell
Weitere IT-Trainings

Eine weitere Angriffsfläche könnten unzureichend abgesicherte Webseiten sein. Viele Onlineshops im Dark Web würden auf die Schnelle hochgezogen und könnten über herkömmliche SQL-Schwachstellen oder andere Programmierfehler kompromittiert worden sein. Auch der Doxbin-Administrator deutet an, dass seine PHP-Umgebung eine mögliche Schwachstelle gewesen sei.

Möglicherweise könnte das FBI Webseitenbetreiber auch über die Zahlungen per Bitcoin ausfindig gemacht haben, schreibt das Tor-Team. Es verweist auf Forschungen, die zeigen, dass es möglich ist, Bitcoin-Transaktionen mit IP-Adressen zu verknüpfen und solche Überweisungen auch im Tor-Netzwerk zu deanonymisieren.

Tor ist kein absoluter Garant für Anonymität

Die vielen Angriffe auf das Tor-Netzwerk der vergangenen Monate könnten ebenfalls zu der Enttarnung geführt haben, heißt es in dem Blogeintrag. Zwar habe das Tor-Team einige Fehler möglichst schnell behoben, zwischenzeitlich hätten die Fahnder jedoch die Schwachstellen für sich nutzen können. Das Deanonymisieren lasse sich ohnehin nicht ganz verhindern. Dazu müsse lediglich der Datenverkehr über Relay-Server laufen, die die Strafverfolgungsbehörden nutzen. Der Doxbin-Admin berichtete von wiederholten DDoS-Angriffen, die das Umleiten von Daten auf andere Relay-Server forcieren können.

Das FBI hat die Liste der beschlagnahmten Webseiten nach unten korrigiert, ursprünglich war die Rede von über 400 Webseiten. Dabei handele es sich jedoch um URLs, die zu den gesperrten Webseiten führen. Es seien zwar mindestens 27 gewesen, sagte ein FBI-Sprecher zu Forbes. Allerdings sei die zunächst genannte Zahl von über 400 lediglich die Anzahl der URLs, die dann zu einer Webseite führen. Dort ist auch eine Liste der gesperrten Hidden Services, Doxbin ist allerdings nicht dabei.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Bundesservice Telekommunikation
Schlecht getarnte Tarnorganisation praktisch enttarnt

Inzwischen ist offensichtlich, dass der Bundesservice Telekommunikation zum Bundesamt für Verfassungsschutz gehört.

Bundesservice Telekommunikation: Schlecht getarnte Tarnorganisation praktisch enttarnt
Artikel
  1. Digitalisierung: 500-Euro-Laptops für Lehrer leistungsfähig und gut nutzbar
    Digitalisierung
    500-Euro-Laptops für Lehrer "leistungsfähig und gut nutzbar"

    Das Land NRW hat seine Lehrkräfte mit Dienst-Laptops ausgestattet. Doch diese äußern deutliche Kritik und verwenden wohl weiter private Geräte.

  2. Volkswagen Payments: VW entlässt Mitarbeiter wohl wegen Cybersicherheits-Bedenken
    Volkswagen Payments
    VW entlässt Mitarbeiter wohl wegen Cybersicherheits-Bedenken

    Volkswagen entlässt einem Bericht nach einen Mitarbeiter, nachdem dieser Bedenken hinsichtlich der Cybersicherheit von Volkswagen Payments äußerte.

  3. Frequenzen: Bundesnetzagentur erfüllt Forderungen der Mobilfunkkonzerne
    Frequenzen
    Bundesnetzagentur erfüllt Forderungen der Mobilfunkkonzerne

    Jochen Homann könnte vor seinem Ruhestand noch einmal Vodafone, Deutsche Telekom und Telefónica erfreuen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RTX 3080 Ti 12GB 1.699€ • Intel i9-10900K 444,88€ • Huawei Curved Gaming-Monitor 27" 299€ • Hisense-TVs zu Bestpreisen (u. a. 55" OLED 739€) • RX 6900 1.449€ • MindStar (u.a. Intel i7-10700KF 279€) • 4 Blu-rays für 22€ • LG OLED (2021) 77 Zoll 120Hz 2.799€ [Werbung]
    •  /