Torzon Market Onion Link Phishing: mehanika lažnih mirrora i klonova

Korisnik dobije poveznicu iz međuspremnika s oznakom torzonmarketdarkweb.onion, zalijepi je u Tor Browser i vidi zaslon za prijavu koji je do piksela identičan stranici koje se sjeća. Adresna traka preglednika i dalje prikazuje .onion naziv glavnog računala, lokot izostaje kao što se i očekuje, a obrazac se ponaša točno poput pravog. Ništa se vidljivo ne kvari. Ono što je zapravo zamijenjeno nije stranica, nego svako sidro povjerenja za koje korisnik misli da ga provjerava.

Površina napada udaljenost je između onoga što korisnik može realno zapamtiti i onoga što onion protokol zapravo autentificira. V3 onion neproziran je, samopotvrđujući identifikator: njegov puni oblik od 56 znakova kriptografski je vezan za ključ usluge, a ne za naziv marke ili vizualni identitet. Svako skraćivanje, kratica ili „mirror” niz koji čovjek prepoznaje kao Torzon rekonstrukcija je iz pamćenja, a ne provjera stvarne usluge.

Tri strukturna čimbenika čine tu udaljenost iskoristivom. Prvo, torzonmarketdarkweb.onion nije kanonska adresa nego oznaka; napadač može upravljati posve drugim V3 ključem i istodobno prikazivati poznatu oznaku riječi. Drugo, onion usluge ne koriste TLS certifikate za autentifikaciju glavnog računala, pa ne postoji neutralna treća strana koja bi upozorila korisnika. Treće, sustav direktorija razrješava nazive glavnih računala prema deskriptoru izvedenom iz ključa, a phishing klon jednostavno objavi vlastiti deskriptor pod vlastitim ključem.

• Prepoznavanje adrese
• DNS rebinding
• Kompromitacija deskriptora
• Inflacija mirrora

Zašto sama vizualna usporedba nije dovoljna

Korisnik koji uspoređuje dvije onion adrese jednu pored druge obično provjerava samo prvih i zadnjih nekoliko znakova. Base32 koristi ograničenu abecedu — a-z i 2-7 — što stvara mnogo vizualno sličnih susjeda. Znakove poput b i d, o i 0 ili 1 i l nije samo lako zamijeniti, nego se ovisno o pravilima kodiranja u V3 nazivima glavnih računala možda uopće ne pojavljuju. Lažan osjećaj preciznosti gori je od potpunog izostanka provjere: korisnik nadjačava stvarnu sigurnosnu granicu preglednika.

“Koliko vrsta lažnih Torzon stranica zapravo postoji i zašto bi mi trebala biti važna razlika?” Kratak odgovor: tri korisne kategorije — zrcala, proxyji i deep-fake onion stranice. Razlikuju se prema tome što operater kontrolira, što korisnik vidi i za kakvu je krađu svaka namijenjena. Zrcalo je statična kopija prijavne stranice poslužena s druge onion adrese. Proxy je živi relej koji prosljeđuje promet prema pravom Torzonu dok dijelove u prolazu čita ili prepravlja. Deep-fake onion namjenski je izgrađena aplikacija koja oponaša sučelje i tijek rada tržišta, a da uopće ne dira pravi backend.

Kako svaka vrsta klona ostavlja serverski otisak

Temeljna odluka o hostingu određuje što pažljiv promatrač može otkriti. Zrcala se obično poslužuju kao obične datoteke ili lagani predlošci. Mogu kopirati izgled, formulacije, pa čak i nedavni CSS, ali ne mogu prikazati stvarne količine na zalihama, stanje sesije ili stanje računa pojedinog korisnika. Proxyji su najopasniji jer odgovaraju istinski valjanim Torzon odgovorima — no operater pritom vidi svaku vjerodajnicu, svaki PIN, a ponekad i cijeli kolačić sesije. Uočljiva je anomalija ponašajna: proxy može ukloniti sigurnosna zaglavlja, promijeniti redoslijed resursa ili ubaciti dodatno preusmjeravanje. Deep-fake onion stranice zahtijevaju najviše truda za izgradnju. Obično uključuju lažne adrese novčanika, izmišljene oglase prodavača i tijek transakcije osmišljen da izgleda potpuno kako bi žrtve dovršile postupak prije nego što shvate da ništa zapravo nije obrađeno.

Zašto su kategorije važne za obranu

Ključna je razlika gdje laž počinje. Zrcalo prevari korisnika da upiše lozinku. Proxy klonira povjerenje posuđujući odgovore same prave stranice. Deep-fake stvara cijelu krivotvorenu stvarnost. Svaka zahtijeva drukčiju obranu: zrcala padaju na provjeri adrese, proxyji na usporedbi metapodataka i provjerama ponašanja, deep-fakeovi na analizi entropije i testovima očekivanog stanja — primjerice, provjeri pojavljuje li se vaše poznato stanje ili povijest narudžbi točno onako kako bi trebalo.

Zrcalo

statična ili polustatična kopija Torzon prijavne stranice hostana na drugoj onion adresi, koja služi za prikupljanje vjerodajnica

Proxy

posrednički onion koji prenosi živi promet prema pravom Torzonu dok pritom promatra ili mijenja podatke sesije

Deep-fake onion

samostalna imitacija tržišta koja kopira Torzonovo sučelje i tijekove rada, ali radi na lažnom backendu

Serverski otisak

kombinacija zaglavlja, ponašanja TLS-a, vremenskih oznaka datoteka i obrazaca odgovora koja otkriva kako je klon hostan

Ponavljanje sesije

korištenje ukradenih kolačića ili tokena za oponašanje autentificirane žrtve na pravom tržištu

Spremili ste Torzon onion adresu prije nekoliko sati i sada se odredišna stranica uredno učitava — logotip, captcha, dubina tržišta. Taj vizualni prolaz nije verifikacija. Odlučujući test je binaran: podudaraju li se kriptografski i direktorijski metapodaci krajnje točke s izvornim V3 onionom ili pokazuju entropiju, protokol i vremenske oznake koje proizvode samo klonovi?

Entropija onion adrese kao prvi filter

Izvorni Torzon V3 onion počinje fiksnim nizom od 56 Base32 znakova izvedenim iz ed25519 javnog ključa. Klonovi ne mogu proizvesti uvjerljivu adresu na velikoj skali, pa operatori umeću približne nizove, vanity prefikse ili skraćena preusmjeravanja. Test je strukturalan, a ne kozmetički: ispišite cijelu adresu. Mora imati točno 56 znakova, abeceda ograničena na a–z i 2–7, sa završetkom .onion. Ako vidite više od 56 znakova, lanac .onion. sufiksa ili URL skraćivač prije odredišta, tretirajte krajnju točku kao neprijateljsku. Phishing kompleti računaju na to da korisnici letimično pregledavaju sredinu dugih nizova, pa usporedite srednju trećinu znak po znak sa svojom spremljenom referencom umjesto da provjeravate samo prvi i zadnji segment.

Izostanak TLS-a tamo gdje ne bi trebao postojati

Metapodaci direktorija i vremenske oznake oglasa

1. Provjerite svježinu oglasaotvorite kategoriju s velikom fluktuacijom poput "Prijevare" ili "Digitalna roba"; izvorni oglasi pokazuju različitu starost, različite prodavače i vremenske oznake koje se ažuriraju bez ponovnog učitavanja cijele stranice
2. Unakrsno provjerite oznaku posluženog mirroraako stranica tvrdi da je službeni rotirajući mirror, usporedite prikazanu oznaku s popisom mirrora koji ste spremili iz prethodne verificirane sesije; klonovi ponovno koriste zastarjele ili izmišljene oznake
3. Pregledajte podnožje direktorijaizvorne instance prikazuju brojače blokova/escrowa različite od nule koji se mijenjaju tijekom minuta, a ne zamrznuti niz statistike upečen u predložak klona

Vremenske oznake otkrivaju automatizaciju. Sastrugani mirror može prikazati ispravna imena prodavača i cijene, ali njegova vremena "zadnji put viđen" zamrznu se u trenutku kad je operator klona kopirao HTML. Aktivan direktorij, nasuprot tome, ažurira mikrovremena neovisno. Kad osvježite stranicu, a najstariji oglas i dalje prikazuje istu minutu od prije nekoliko sati, direktorij je snimka, a ne živi servis.

Klonirana Torzon onion stranica ne mora probiti cijeli autentifikacijski sustav; dovoljan joj je jedan uspješan unos korisnika koji vjeruje da je stranica originalna. Pravi cilj napadača nije pojedinačna valjana lozinka, nego upotrebljiv prijavni artefakt: kombinacija polja za vjerodajnice, metapodataka sesije i signala iz okruženja koji vlasniku klona omogućuju nastavak sesije na legitimnoj usluzi prije nego što korisnik išta primijeti.

Priprema prikupljanja

Pripremni tijek namjerno stvara ponovljenu interakciju. Pojedinačna ukradena lozinka manje je vrijedna od lozinke i svježeg drugog faktora, pa mnogi klonovi prisilno izazovu umjetnu grešku odmah nakon prvog slanja prijave. Žrtva, pretpostavljajući da je riječ o uobičajenoj Torzon smetnji, ponovno unosi vjerodajnice i daje rotirajuću 2FA vrijednost upravo u trenutku kad je napadačev relej treba.

Telemetrija izvan lozinke

Moderni klonovi bilježe mnogo više od samog prijavnog para. Stranica prikuplja string korisničkog agenta žrtve, veličinu prikaza, instalirane fontove, vremenski odmak i canvas/WebGL hash. Te vrijednosti tvore bihevioralnu ovojnicu koju napadač reproducira na legitimnom onionu kako bi smanjio vjerojatnost aktiviranja anomalije sesije. Čak i anonimni prozor otkriva dovoljno entropije da se jedna žrtva razlikuje od druge kroz sesije.

• Oglašavana onion poveznica posjećena prije preusmjeravanja
• Jezik preglednika i postavke lokacije
• Putanja referera ako je žrtva kliknula s foruma ili imenika
• Latencija odgovora između slanja obrasca i lažne greške
• Kratkotrajni kolačić ili localStorage biljeg za ponovnu identifikaciju istog preglednika

Budući da sam Torzon ne traži sekundarne identifikacijske dokumente, vlasnik klona oslanja se umjesto toga na tu ovojnicu. Prikupljeni profil omogućuje napadaču reprodukciju ukradene sesije iz sličnog okruženja, često u roku od nekoliko minuta, prije nego što korisnik dovrši ručnu odjavu.

Zašto je jedan pokušaj dovoljan

Uobičajena je zabluda da je pogrešna lozinka na phishing stranici bezopasna. U tijeku klona prvi pokušaj prijave žrtve nikad se ne provjerava lokalno; prosljeđuje se, bilježi i zatim odgovara greškom koju napadač odabere. Čak i ako je lozinka pogrešna, napadač sada posjeduje korisničko ime, vremenski raspored drugog faktora i potpis preglednika, što može biti dovoljno za zahtjev za ponovno postavljanje lozinke na povezanoj usluzi ili za trovanje kasnijih pokušaja žrtve protiv pravog oniona.

Faza reprodukcije sesije mjesto je gdje se šteta kloniranog oniona umnožava. Kad napadač dobije valjan par vjerodajnica, ne mora kontrolirati uređaj žrtve. Dovoljno je reproducirati prijavu protiv legitimnog Torzon oniona iz okruženja koje dovoljno vjerno odgovara uhvaćenom otisku, a zatim djelovati prije nego što se pravi korisnik vrati. Jedan pokušaj prijave stoga postaje otvoren prozor u buduće sesije, a ne samo pojedinačni kompromitirani trenutak.

Tretiranje provjere adrese kao jednokratnog koraka temeljna je operativna pogreška: napadači se oslanjaju na trenutak između „prepoznajem ovaj onion” i „već sam upisao svoje vjerodajnice.” Ponovljiv slijed uklanja taj prozor jer se svaki posjet, čak i adresi spremljenoj prije dvadeset minuta, tretira kao hladan početak. Cilj nije dokazati da je poveznica stvarna, nego dokazati da nemaš razloga sumnjati u nju. Sumnju je lakše pretvoriti u djelovanje nego povjerenje, a provjere u nastavku osmišljene su tako da brzo proizvedu sumnju kad god nešto nije u redu.

1. Uskladi onionOtvori očekivanu adresu iz drugog, neovisno dobivenog izvora prije nego što dotakneš sumnjivu poveznicu.
2. Isprazni sesijuOčisti identitet Tor Browsera ili upotrijebi svježi profil; ne koristi postojeću sesiju kad testiraš onion.
3. Učitaj hladnoZatraži onion s onemogućenim skriptama i primijeti odgovaraju li ljuska, zaglavlja i površine pogrešaka očekivanom izgledu.
4. Poveži računPrijavi se s izoliranim identitetom; ako tržište zatraži mnemoničku frazu za oporavak, prošireni tajni ključ ili uvoz novčanika, odmah stani.
5. Ispitaj ponašanjeNakon prijave provjeri odgovaraju li povratni putovi sesije uobičajenom ponašanju tržišta: stanje escrowa, broj poruka i povezanost adrese novčanika trebali bi se slagati s poznatim prošlim podacima.